EP4225615A1 - Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags - Google Patents

Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Info

Publication number
EP4225615A1
EP4225615A1 EP21777627.7A EP21777627A EP4225615A1 EP 4225615 A1 EP4225615 A1 EP 4225615A1 EP 21777627 A EP21777627 A EP 21777627A EP 4225615 A1 EP4225615 A1 EP 4225615A1
Authority
EP
European Patent Office
Prior art keywords
safety
control device
ecu
operating state
related control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP21777627.7A
Other languages
English (en)
French (fr)
Other versions
EP4225615B1 (de
EP4225615C0 (de
Inventor
Andre Sudhaus
Uwe Friemann
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Elmos Semiconductor SE
Original Assignee
Elmos Semiconductor SE
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Elmos Semiconductor SE filed Critical Elmos Semiconductor SE
Priority to EP24020036.0A priority Critical patent/EP4339039B1/de
Priority to EP24020035.2A priority patent/EP4353544B1/de
Publication of EP4225615A1 publication Critical patent/EP4225615A1/de
Application granted granted Critical
Publication of EP4225615B1 publication Critical patent/EP4225615B1/de
Publication of EP4225615C0 publication Critical patent/EP4225615C0/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R21/00—Arrangements or fittings on vehicles for protecting or preventing injuries to occupants or pedestrians in case of accidents or other traffic risks
    • B60R21/01—Electrical circuits for triggering passive safety arrangements, e.g. airbags, safety belt tighteners, in case of vehicle accidents or impending vehicle accidents
    • B60R21/017—Electrical circuits for triggering passive safety arrangements, e.g. airbags, safety belt tighteners, in case of vehicle accidents or impending vehicle accidents including arrangements for providing electric power to safety arrangements or their actuating means, e.g. to pyrotechnic fuses or electro-mechanic valves

Definitions

  • Safety-relevant applications such as an airbag control unit show the need to function as fail-safe as possible even in the event of external fault influences, e.g. in connection with accidents.
  • Such failures caused by external faults can be, for example, short circuits and interruptions in the wiring harness.
  • Today's modern airbag control devices typically include integrated circuits, in which an integrated circuit preferably ignites a plurality of airbag squibs. In this case, one ignition circuit is typically provided for each squib, by means of which the relevant integrated circuit within the airbag control device ignites the squib in the event of an accident and ensures deployment of the airbag.
  • a short circuit on a supply line of a squib to the vehicle ground must not prevent or impair the ignition of the other squibs of the other ignition circuits.
  • a solution known from the prior art is the use of diodes. These diodes connect a connection of the squib that is short-circuited to vehicle ground to the ground connection of the airbag control unit if the voltage difference between the vehicle ground and the potential of the ground connection of the airbag control unit is greater than the transfer voltage of the relevant diode. These diodes connect a connection of the squib that is short-circuited to vehicle ground to the ground connection of the airbag control unit, i.e. when the vehicle ground is more than the ground connection voltage of the diode below the potential of the ground connection of the airbag control unit.
  • diodes D3, D4 can route the resulting equalizing currents past the relevant connection of the squib. This is shown in FIG. 2 and corresponds to the prior art. This solution from the prior art represents a cost-intensive solution with unfavorable diagnostic capability, for example due to additional leakage currents.
  • the safety-relevant airbag control unit should remain diagnosable or ignitable with regard to the squib propellant charges if fault influences occur as indicated above, in which case both short circuits to the vehicle ground and an increased GND resistance must be assumed.
  • the short-circuited connections of the squib then potentially discharge the ground current at least partially into the vehicle ground due to the ground potential of the ground connection of the airbag control device rising via the ground resistance. This leads to substrate current injection in the relevant airbag control unit integrated circuit with the high potential of generating consequential errors.
  • Exemplary airbag circuits from the prior art are DE 39 25 594 A1 and DE 3 738 862 A1.
  • a relevant device with functional autonomy is known from DE 10255429 A1.
  • the object on which the proposal is based is therefore to create a solution that does not have the above disadvantages of the prior art and has other advantages.
  • Safety-relevant systems such as airbag control devices preferably have energy storage devices. These energy stores are used for at least temporary energetic self-sufficiency. This self-sufficiency is necessary in the event of an interruption in the energy supply in connection with an accident. Airbag control devices can preferably actively force this operating state of an emergency energy supply from the energy reserve.
  • the cheaper alternative compared to the solution in FIG. 2 consists in temporarily reducing the module supply current to a minimum.
  • the airbag control systems typically have such an operating mode with lower energy consumption, the so-called self-sufficient operation with self-supply via an energy reserve.
  • Such devices preferably use capacitors as an energy reserve.
  • the energy supply of the device can achieve self-sufficient operation via the operating mode typically available for airbag control devices by means of self-sufficiency (also called self-sufficiency) from said energy reserve.
  • self-sufficiency also called self-sufficiency
  • This usually consists of appropriate capacitors of appropriate capacity. A designer prefers to design this capacitance typically for the ignition processes after the vehicle has lost battery power.
  • the invention thus relates to methods for operating a safety-relevant control device for vehicles, in particular for an airbag control device.
  • the control device has an energy reserve.
  • the vehicle typically has an on-board electrical system with supply voltage lines.
  • the controller receives signals from sensors and/or other systems.
  • the safety-related control device has a first operating state and a second operating state. In this case, the amount of energy consumed by the safety-relevant control device in the first operating state is preferably smaller than in the second operating state. Nevertheless, the safety-related control device can preferably perform its safety-related function in the first and second operating states.
  • the method preferably includes the step of providing an energy reserve.
  • the method preferably includes the step of evaluating the signals from the sensors and/or the others systems.
  • the method preferably includes the step of determining a safety-critical event as a function of the signals from the sensors and/or the other systems.
  • the method preferably includes the step of switching to the second operating state in the event of a safety-critical event.
  • the method preferably includes the step of performing the safety-related function of the safety-related control device in the second operating state.
  • the method is characterized by the step of supplying power to the safety-related control device from the energy reserve when the safety-related control device is in the second operating state.
  • the safety-relevant control device is only supplied with electrical energy in the first operating state from the electrical system of the vehicle by means of the supply voltage lines.
  • the energy reserve is only charged in the first operating state from the vehicle's electrical system by means of the supply voltage lines with electrical energy. If an accident occurs, the safety-related control device in the second operating state is disconnected from the electrical system of the vehicle and the supply voltage lines by means of a disconnecting device as soon as possible after the safety-related event has been detected.
  • This separation should preferably take place independently of the voltage difference between the potential of the relevant supply voltage lines on the one hand and the potential of a reference potential node of the safety-relevant control unit on the other. This ensures that no energy flows out of the energy reserve into the on-board network. Therefore, in the second operating state, the energy reserve is preferably also disconnected from the on-board electrical system of the vehicle and the supply voltage lines by means of a disconnecting device. This separation means that any residual current that may still be flowing can no longer impair the function of the safety-relevant device.
  • This separation of the energy reserve from the vehicle electrical system is of course also preferably carried out independently of the voltage difference between the potential of the relevant supply voltage lines on the one hand and the potential of a reference potential node of the safety-relevant control unit on the other.
  • the proposed method preferably uses the same separating device for both separations.
  • This can be transistors or other electrical switches.
  • the safety-relevant control device preferably actuates these separating devices when they require actuation.
  • the procedural principle can also be applied to the implementation of safety-relevant tests. This then involves a method for operating a safety-related control device for vehicles, in particular for an airbag control device, the control device having an energy reserve, the safety-related control device having a first operating state and a second operating state.
  • the amount of energy consumed from the battery of the safety-relevant control device is preferably higher in the first operating state than in the second operating state.
  • the safety-related control device can perform its safety-related function, with the document presented here understanding the performance of safety-related tests as the performance of a safety-related function.
  • the method then includes the steps of providing an energy reserve, determining the need for a safety-critical test, switching to the second operating state, carrying out the safety-relevant test by the safety-relevant control device in the second operating state and switching back to the first operating condition.
  • the method is characterized by the step of supplying power to the safety-relevant control device from the energy reserve when the safety-relevant control device is in the second operating state. For example, a time slicer or timer or other device may determine the need for a safety critical test.
  • a method for operating a safety-related control device in which the safety-related control device has a connection to at least one other system component of the vehicle.
  • Such other system components can be, for example, but not limited to, seat heaters or servomotors or the like, which the device does not need in relation to the safety function and whose function the device can dispense with at least temporarily or specifically in the event of an accident.
  • Said connection between the safety-related control device and the other system component can be an analog or digital direct point-to-point connection between the safety-related control device and the other be a system component.
  • a common data bus or the like can also establish such a connection.
  • a higher-level computer unit to establish the connection between the safety-relevant control device and the additional system component, which is connected to a first data bus and to a second, separate data bus.
  • the safety-relevant control device is then connected to the first data bus, for example, and the other system component is connected to the second data bus.
  • the safety-relevant control device can then only communicate indirectly with the further system component via the superordinate computer unit.
  • the additional system component when the additional system component is operated in the first operating state of the additional system component, there is a first additional ground offset of the potential of the ground connection of the safety-relevant control device compared to a reference potential. Furthermore, when the additional system component is operated in the second operating state of the additional system component, there is a second additional ground offset the potential of the ground connection of the safety-related control device compared to a reference potential.
  • the second ground offset can also be 0V. For example, we assume that the amount of the first mass offset is greater than the amount of the second mass offset. This additional mass offset can exacerbate the problem previously described.
  • the safety-relevant control device can cause the safety-relevant control device to change the operating state of the further system component.
  • the vehicle can therefore switch to an accident operating state in which the safety-related control device or a higher-level device switches off all unnecessary consumers, among other things to reduce the mass offsets.
  • it can also be advantageous to temporarily switch less important system components to a power-saving operating state during normal operation in order to carry out safety-critical tests.
  • Such a method then preferably includes the step of determining the need for a safety-critical test by the safety-relevant control device. Furthermore, such a method then preferably includes the step of switching over the further system component to the second operating state of the other system component. In addition, such a method then preferably includes the step of carrying out the safety-related test by the safety-related control device. The additional system component is in the second operating state of the additional system component during the safety-related test.
  • such a method then preferably includes the step of ending the safety-relevant test and switching the further system component back to the first operating state of the further system component.
  • a higher-level control unit can provide and represent an indirect connection between the safety-relevant control device and other system components.
  • the proposal presented here thus relates to a method for operating a safety-related control device for vehicles, in particular for an airbag control device in a vehicle.
  • the vehicle preferably has a further device (ECUVC), which is preferably a charging circuit (ECHVC) for the energy reserve (C) of the safety-related control device (ECU).
  • ECUVC a charging circuit
  • ECUVC supplies the control circuit (ECUIC) of the safety-related control device (ECU) and possibly other device parts of the safety-related control device (ECU) in the first operating state of the safety-related control device (ECU), i.e. in normal operation, with electrical energy.
  • the control device (ECU) has an internal ground contact (GNDi).
  • the vehicle has a different ground point (GND), typically the body of the vehicle as vehicle ground.
  • the control device includes the already mentioned energy reserve (C).
  • the additional device can be part of the safety-related control device (ECU).
  • the additional device can be the charging circuit (ECUVC) of the safety-related device (ECU).
  • the further device can also be a device of the vehicle that is not part of the safety-related control device (ECU).
  • Such a further device can be a seat heater or the like, for example.
  • the current consumption of this further device which is relevant to the problem discussed here, contributes to an increase in the absolute value of the ground offset voltage ( ⁇ V GND ).
  • the safety-critical control device (ECU) presented here or another device in the vehicle therefore switch off this further device in the event of a safety-critical incident, so that the further device no longer feeds current into the ground line common to the safety-relevant control device, or only feeds a significantly lower current into feeds this ground line.
  • the further device thus has a power consumption of an electrical current for its operation.
  • This electrical current of the further device can lead to a ground offset with a ground offset voltage ( ⁇ V GND ) different from 0V.
  • This ground offset voltage ( ⁇ V GND ) arises between the internal ground contact (GNDi) of the safety-related control unit (ECU) on the one hand and the other ground point (GND) of the vehicle.
  • the other ground point (GNDi) can be, for example, the body as the vehicle ground.
  • the short-circuited wire in question can fall below the potential of the internal ground contact (GNDi) of the safety-related control unit (ECU).
  • Such another line of the safety-relevant control device (ECU) can be, for example, a feed line for a sensor of the safety-relevant control device (ECU) or an ignition line (AS1, AS2) for a squib (SQ.) of an airbag.
  • the latter case relates to the case of an airbag control system as a safety-related control device (ECU).
  • the control unit receives signals from sensors and/or other systems of the vehicle.
  • data buses can use these sensors and/or other systems on the one hand with the safety-relevant control device (ECU) on the other hand electrically and/or in terms of information technology. These connections can be wired or wireless. If they are wired, data buses such as the CAN data bus, the PSI5 data bus, the DSI3 data bus, the Lin data bus, PWM connections, simple digital and analog lines and/or line bundles and the like come into consideration.
  • a short circuit between such an electrical data bus and another ground point (GND) of the vehicle can lead to a similar effect.
  • GND ground point
  • Such a short circuit can be, for example, the short circuit of an electrical data bus with the body of the vehicle. This can then have the effect that the potential of the short-circuited data line is below the potential of the internal ground contact (GDi) of the safety-related control device (ECU).
  • the safety-related control device has a first operating state for normal operation and a second operating state for when the safety-related function is being exercised.
  • the first operating state is the normal operating state without an accident
  • the second operating state is the state in which the airbag control device (ECU) detects an accident by means of its sensors and airbags ignites.
  • the energy consumption of the safety-related control device (ECU) in the first operating state be higher in terms of amount, namely normal, than in the second operating state. This has the advantage that the flow of current via the electrical supply lines of the safety-related control device (ECU) is minimized as a result of the reduced current consumption.
  • the safety-related control device In the first and second operating state, the safety-related control device (ECU) can perform its safety-related function. However, the control device should preferably switch to the second operating state in order to carry out the safety-related function. It is therefore preferred that the safety-relevant device is in the first operating state during normal operation and in the second operating state when the safety-relevant function is being exercised. In this document, this is described as a "can" statement, since the safety-related control device (ECU) can still start exercising the safety-related function in the first operating state before it has completely assumed the second operating state. As already mentioned, the vehicle includes said further device.
  • the further device has a first power consumption when the control device (ECU) is in the first operating state and a second power consumption when the safety-relevant control device (ECU9 is in the second operating state.
  • the method presented in this document typically includes the step of providing an energy reserve (C).
  • the method provides, for example, a capacitor (C) as an energy storage element of the safety-related control device (ECU) and preferably charges this capacitor (C) by means of a charging circuit (ECUVC) to a typically provided energy level.
  • Preferred controls a control circuit (ECUIC) of the safety-related control device (ECU) by means of a switch-off line and/or other control signals the charging process of the energy reserve (C) by the charging circuit (ECUVC).
  • the device (ECU) typically evaluates the signals from the sensors and/or the other systems during operation and, if necessary, concludes that there is a safety-critical incident, for example an accident.
  • the control circuit (ECUIC) of the safety-critical control device (ECU) typically brings the safety-critical control device (ECU) from the first operating state to the second operating state and causes the safety-critical control device (ECU9) to exercise its safety-critical function, e.g.
  • the method presented in this document therefore also includes the step of determining a safety-critical event as a function of the signals from the sensors and/or the other systems and the step of switching over the operating state of the safety-critical control device (ECU). the second operating state in the event of a safety-critical event (incident). With this conversion, the method proposed in this document provides for the safety-related function of the safety-related control device (ECU) to be carried out in the second operating state.
  • the method proposed in this document provides for the safety-related control device (ECU) to be supplied from the energy reserve (C) instead of being supplied from the vehicle's on-board network via its supply lines if the safety-related control device (ECU) is in the second operating state.
  • the method proposed in this document provides for the greatest possible change in the current consumption of the additional device (ECUVC) in order to compensate for the resulting ground offset in the form of a ground offset voltage (AV), which drops across the parasitic ground resistance R GND on the ground supply voltage line. to minimize. Therefore, the control circuit (ECUIC) of the safety-related control device (ECU) or another device of the vehicle preferably reconfigures the further device.
  • the additional device can be, for example, the charging circuit (ECUVC) of the safety-related device (ECU).
  • This method step thus reprograms the further device, preferably in such a way that the further device then shows a second power consumption of the further device (ECUVC) when the safety-related control device (ECU) is in the second operating state.
  • the resulting ground offset appears in the form of a reduced ground offset voltage (AV) across the parasitic ground resistance R GND on the ground supply voltage line.
  • the second current consumption of the additional device (ECUVC) in the second operating state of the safety-related control device (ECU) is typically smaller in terms of amount than the amount of the first current consumption of the additional device (ECUVC) in the first operating state of the safety-related control device (ECU ). If this is the case, then the ground offset voltage ( ⁇ V GND ) in the second operating state of the safety-related control device (ECU) is reduced compared to that of the second operating state of the control device (ECU), and the robustness and operational reliability are thus increased.
  • the document presented here comprises a second similar method for operating a safety-related control device (ECU) for vehicles, in particular for an airbag control device.
  • the method assumes that the control device has an energy reserve and the vehicle has an electrical system with supply voltage lines.
  • a supply voltage line is the chassis ground of the vehicle.
  • These supply voltage lines include a supply voltage line which is at the supply voltage with respect to the vehicle ground and which the document presented here also designates as the supply voltage (V bat ).
  • the control unit (ECU) receives signals from sensors and/or other systems.
  • the safety-related control device (ECU) should also have a first operating state and a second operating state.
  • the amount of energy consumed by the safety-relevant control device (ECU) in the first operating state is also higher in this method than in the second operating state.
  • the safety-relevant control device can also perform its safety-relevant function here in this second method in the first and second operating state.
  • C the energy reserve
  • the document presented here now describes a second method with a step of evaluating the signals from the sensors and/or the other systems. Again, we refer to the above statements on the first method, which also apply here.
  • the second method also includes the step of determining a safety-critical event as a function of the signals from the sensors and/or the other systems.
  • the second method as in the first method, there is a step of switching to the second operating state in the event of a safety-critical event.
  • a step of carrying out the safety-relevant function of the safety-relevant control device in the second operating state also takes place in the second method.
  • the safety-related control device (ECU) is now supplied in the first operating state from the vehicle's electrical system by means of the Supply voltage lines with electrical energy.
  • the second method includes charging the energy reserve (C) in the first operating state from the electrical system of the vehicle using the supply voltage lines with electrical energy.
  • the second method includes the step of separating the safety-relevant control device (ECU) in the second operating state from the electrical system of the vehicle, in particular from the supply voltage lines, in particular from the supply voltage (V bat ) by means of a separating device.
  • the technical teaching of the document presented here should expressly include the combination of this procedure of the second method with the procedure of the first method, even if they differ slightly.
  • ground offset in the form of the ground offset voltage ( ⁇ V GND ) in the event of a safety-critical incident.
  • This separation of the second method takes place independently of the voltage difference between the potential of the relevant supply voltage lines (GND) on the one hand and the potential of a reference potential node (GNDi) of the safety-related control device (ECU) on the other hand.
  • the separation of the energy reserve (C) provided in this second method in the second operating state of the safety-related control device (ECU) from the electrical system of the vehicle and the supply voltage lines, in particular from the supply voltage (V bat ) by means of a separation device, is particularly advantageous.
  • the disconnecting device disconnects only the supply voltage (V bat ) from the safety-related control device, preferably at least from the safety-related control circuit (ECUIC).
  • the isolating device is preferably a transistor which the safety-related control circuit (ECUIC) of the safety-related control device (ECU) or, less preferably, another sub-device of the safety-related control device (ECU) by means of a disconnection signal, which can also be the switch-off signal (ECUVCL), for example, controls.
  • This separation preferably takes place independently of the voltage difference between the potential of the relevant supply voltage lines, and preferably of the potential of the vehicle ground (GND), on the one hand, and the potential of a reference potential node (GNDi) of the safety-relevant control unit, on the other hand.
  • the safety-related control device ECU
  • the safety-related control device is preferably supplied with electrical energy from the energy in the energy reserve (C) when the safety-related control device is in the second operating state.
  • the first separation and the second separation can be the same process.
  • a single disconnect device can electrically connect the power reserve (C) and the control circuit (ECUIC) Disconnect the control device with the supply voltage (V bat ). This connection can be made indirectly, for example via the charging circuit (ECUVC).
  • the separating device can be part of the charging circuit, for example the switching transistor of a switching regulator of the charging circuit.
  • the document presented here includes a third, similar method for operating a safety-related control device for vehicles, in particular for an airbag control device.
  • this third method again assumes that the safety-related control device (ECU) has an energy reserve and that the vehicle has an on-board electrical system with supply voltage lines.
  • the comments on this point in the two descriptions of the two previous methods typically apply to all three methods.
  • the supply voltage lines shall include a supply voltage (V bat ).
  • V bat supply voltage
  • the safety-relevant control device should again have a first operating state and a second operating state.
  • the comments on this point in the two descriptions of the two previous methods typically apply to all three methods.
  • the amount of energy consumed by the safety-related control device should again be higher in the first operating state of the safety-related control device than in the second operating state of the safety-related control device.
  • the comments on this point in the two descriptions of the two previous methods typically apply to all three methods.
  • the safety-related control device can again exercise its safety-related function.
  • the comments on this point in the two descriptions of the two previous methods typically apply to all three methods.
  • the third method presented here again includes the step of providing an energy reserve (C).
  • C energy reserve
  • the safety-related control circuit (ECUIC) of the safety-related control device (ECU) carries out a step of determining the need for a safety-critical test.
  • the control circuit (ECUIC) of the safety-related control device (ECU) then switches the safety-related control device (ECU) to the second operating state of the safety-related control device (ECU).
  • the step of carrying out the safety-related test by the safety-related control device (ECU) then follows in the second operating state of the safety-related control device (ECU).
  • the safety-related control circuit (ECUIC) of the safety-related control device (ECU) preferably carries out this test.
  • the safety-related control circuit (ECUIC) of the safety-related control device (ECU) preferably performs a typical switching back of the safety-related control device (ECU) to the first operating state of the safety-related control device (ECU).
  • said charging circuit (ECUVC) of the control device (ECU) supplies the safety-related control device (ECU) with electrical energy in the first operating state from the vehicle's electrical system via the supply voltage lines.
  • Said charging circuit (ECUVC) of the control device (ECU) preferably charges the energy reserve (C) in the first operating state from the electrical system of the vehicle using the supply voltage lines with electrical energy.
  • the third method presented here provides for separating the safety-relevant control device (ECU) in the second operating state from the electrical system of the vehicle, in particular from the supply voltage lines and in particular from the supply voltage (V bat ) by means of a separating device in a first separation. The above statements on the separating device typically also expressly apply here.
  • this first separation occurs independently of the voltage difference, with this voltage difference being present between the potential of the relevant supply voltage lines on the one hand and the potential of a reference potential node on the other.
  • the potential of the relevant supply voltage lines typically means the potential of the vehicle ground (GND) in this document.
  • the potential of the reference node here typically means in particular the potential of the internal ground (GNDi) of the safety-related control device (ECU).
  • the third method provides for disconnecting the energy reserve in the second operating state from the electrical system of the vehicle and the supply voltage lines by means of a disconnecting device in a second disconnection.
  • This second separation typically also occurs independently of the voltage difference between the potential of the relevant supply voltage lines (GND) on the one hand and the potential of a reference potential node (GNDi) of the safety-related control unit on the other.
  • the document presented here expressly refers to the above statements on the first and second separation and the separation device in connection with the description of the first and second method. These statements also apply here.
  • the process of the first separation can be the same as that of the second separation.
  • the safety-related control device (ECU) is supplied from the energy reserve (C) when the safety-related control device (ECU) is in the second operating state of the safety-related control device (ECU).
  • the control device has a connection to at least one other system component of the vehicle.
  • the safety-related control device has a ground connection (GNDi).
  • This further system component also has a first operating state and a second operating state. The amount of energy consumed by this further system component is preferably higher in the first operating state than in the second operating state. So that this additional system component is relevant to the problem discussed here, operation of the additional system component in the first operating state of the additional system component can cause a first additional ground offset of the potential of the ground connection of the safety-related control device (GNDi) compared to a reference potential.
  • the reference potential can be the vehicle ground (GND).
  • An operation of the other system component in the second operating state of the other system component can a second additional mass offset of the potential of the ground connection (GNDi) of the safety-related control device (ECU) compared to a Cause reference potential (e.g. GND), which can also be 0V.
  • GND Cause reference potential
  • the amount of the first mass offset is greater as a result of the greater current consumption than the amount of the second mass offset as a result of the then lower current consumption.
  • the additional system component of the vehicle is therefore particularly relevant for this case when the ground current of the additional system component of the vehicle flows via the same ground line as the ground line of the safety-related control device (ECU). The ground current then causes an additional voltage drop across the ground resistance (RGND) and thus an additional ground offset ( ⁇ V GND ).
  • the safety-related control unit can cause the operating state of the other system components to change.
  • the technical teaching presented here proposes that the safety-related control device (ECU) determine the need for a safety-critical test, if necessary.
  • the variant of the method presented here then provides for the further system component to be switched over to the second operating state of the further system component.
  • the safety-relevant test is then carried out by the safety-relevant control device (ECU), the further system component being in the second operating state of the further system component during the safety-relevant test.
  • the safety-relevant test is preferably ended and the further system component is switched back to the first operating state of the further system component.
  • a first sub-variant of the method variant presented above is a method that is characterized in that a higher-level control unit connects the safety-relevant control device (ECU) to other system components, in particular the aforementioned other system components, indirectly, for example via a CAN - Provides data bus with the safety-related control device (ECU).
  • the safety-related control device (ECU) preferably has a data bus connection for such a data bus, for example a CAN bus or a CAN FD data bus.
  • the method variant can also be a variant of the method variants also presented above if the proposed device executes these methods simultaneously.
  • This second variant of the method is characterized in that the safety-relevant control device (ECU) includes a control circuit (ECUIC) of the safety-relevant control device (ECU) and that the method involves switching off the power consumption of other devices (ECUVC), in particular by means of a switch-off line (ECUVCL), in second operating state of the control device (ECU).
  • ECU safety-relevant control device
  • ECUVC control circuit
  • ECUVCL switch-off line
  • the method variant can also be a variant of the method variants also presented above if the proposed device executes these methods simultaneously.
  • This third variant of the method preferably includes influencing the power consumption of the further device (ECUVC) by the safety-related control device (ECU) or a device part of the safety-related control device (ECU). These preferably use a shutdown line (ECUVCL) for this influence.
  • Said device part of the safety-related control device (ECU) can in particular be a control circuit (ECUIC) of the safety-related control device (ECU).
  • the influencing preferably takes place as a function of the operating state of the control device (ECU).
  • the influencing takes place particularly preferably by means of a shutdown line (ECUVCL).
  • the control circuit signals the safety-relevant control device (ECU) of the further device, which is the charging circuit (ECUVC), for example, to reduce its power consumption.
  • the charging circuit ECUVC
  • this preferably includes a transistor as a separator, for example.
  • the shutdown line (ECUVCL) preferably controls this transistor, for example, and thus the isolating device.
  • the control circuit (ECUIC) of the safety-related control device (ECU) disconnects the direct or indirect connection of the energy reserve (C) and/or the control circuit (ECUIC) from the supply voltage (V bat ).
  • the power consumption of the additional device is therefore preferably greater in the first operating state of the control device (ECU) than in the second operating state of the safety-related control device (ECU).
  • This sub-variant of the method is characterized in that the further device is a charging circuit (ECUVC) of the safety-related control device (ECU).
  • the method includes charging the energy reserve (C) by the charging circuit in the first operating state of the control device (ECU) and supplying a control circuit (ECUIC) of the control device (ECU) with electrical energy from the charging circuit (ECUVC) in the first operating state of the control device (ECU) .
  • the method in this sub-variant includes supplying the control circuit (ECUIC) of the control device (ECU) with electrical energy from the energy reserve (C) in the second operating state of the control device (ECU).
  • Such a supply of the safety-related control device via the energy reserve during the execution of the safety-related function reduces the attack surface of an accident event with regard to a safety-related effect on the safety-related control device.
  • a wiring harness is distributed throughout the vehicle.
  • Avoiding substrate current effects may require relevant chip area increases in the integrated circuit for spacing or guard rings or internal protection diodes and/or external voltage limiting measures. It is therefore a significantly more cost-effective solution to the problem to minimize or avoid the battery supply currents as a cause by using the energy reserve that is present in airbag systems anyway to supply energy to the airbag control device, as proposed here.
  • the proposed operating mode is a significantly more cost-effective/cost-neutral implementation In the case of requirements for robustness against a faulty ground offset with other faults that are present at the same time, such as short circuits in the vehicle system.
  • the designer concerned can also potentially do without external protective measures to comply with the safe operating ranges or SOA (avoidance of EOS) through the flexible use of power consumption-reducing measures such as self-sufficiency/self-sufficiency or reduce the resulting effort for protective measures.
  • SOA abbreviance of EOS
  • Figure 1 shows a device of the relevant prior art.
  • FIG. 2 corresponds to FIG. 1 with an additional third diode (D3) and a fourth diode (D4).
  • FIG. 3 shows the method according to the invention in the second operating state in a schematic and simplified manner.
  • FIG. 4 shows the time sequence in principle and in a roughly simplified manner.
  • FIG. 1 shows relevant prior art. Due to the ground resistance (R GND ), the ground offset drops as a voltage ( ⁇ V GND ) across the ground resistance (R GND ) of the ground lead of the airbag control device.
  • the airbag control device controls the squib (SQ) of the airbag via a first control line (AS1) and a second control line (AS2). If, for example, an accident causes a low-impedance short circuit between the first control line (AS1) and the vehicle ground (GND), the supply voltage (V bat ) feeds a current into the airbag control device.
  • the internal ground (GNDi) of the controller is at a potential that is ground offset ( ⁇ V GND ) above the potential of vehicle ground (GND).
  • the supply voltage (V bat ) thereby also feeds a current into the safety-related control device (ECU).
  • This current that is fed in flows out to the vehicle ground via the control line (AS1, AS2), which is short-circuited to the vehicle ground (GND).
  • the supply voltage line (V bat ) feeds this current into the substrate of the control device, where it can cause effects that are difficult to predict.
  • such injected currents can switch parasitic bipolar transistors.
  • the first diode (Dl) and the second diode (D2) are intended to symbolize ESD protection structures. These become conductive in this scenario as soon as the ground offset ( ⁇ V GND ) exceeds the threshold voltage.
  • the resistors R SC1 and R SC2 symbolize the resistances of the short circuits between the respective control line (AS1, AS2) on the one hand and the vehicle ground on the other.
  • Figure 2 corresponds to Figure 1 with the difference that the third diode (D3) and the fourth diode (D4) now take over the current when the voltage difference between the internal ground (GNDi) and the vehicle ground (GND) is greater than the lock voltage of this diodes is.
  • Figure 2 belongs to the prior art. This text therefore does not claim figure 4.
  • FIG. 3 is intended to illustrate the state of the method according to the invention in the second operating state in a schematic and simplified manner.
  • the airbag control device Since the airbag control device is now supplied not via the operating voltage (V bat ), but via the energy reserve (C), the operating voltage source no longer injects electrical current into the airbag control device. It is crucial that the energy reserve uses the internal ground (GNDi) and not the vehicle ground (GND). As a result, no current flows via the ground resistance (R GND ) with the consequence that the voltage across the energy reserve (C) determines the internal operating voltage. In this case, the internal ground potential does not differ from the vehicle ground potential since the voltage drop ( ⁇ V GND ) across the ground resistance (R GND ) disappears. This means that no current flows into the vehicle ground (GND). There is no injection of parasitic currents into the substrate of the control device.
  • FIG. 4 shows the time sequence in principle and in a roughly simplified manner.
  • the control device changes from the first operating state with higher energy consumption to the second operating state with lower energy consumption.
  • the energy reserve (C) supplies the control device with energy and as a result the battery current decreases.
  • the controller then performs the ignition or diagnostic event. i.e.
  • the airbag control device ignites the squibs for which such an ignition was provided.
  • the control device could also carry out a test in this second operating state, ie carry out a diagnostic event.
  • the control device After the end of the second operating state, the control device returns to the first operating state.
  • the battery current from the operating voltage source via the supply voltage line (V bat ) then increases again.
  • the current is in the Supply voltage line (V bat ) higher than before using the energy reserve (C).
  • the supply voltage (V bat ) then recharges the energy reserve (C), which is typically a capacitor. This requires an additional charging current for the duration of the temporal charging phase.
  • FIG. 5 shows a proposed device that executes the proposed method.
  • the device includes a voltage source (V batsup ) of the vehicle.
  • the voltage source (V batsup ) of the vehicle generates the potential of the supply voltage (V bat ) versus the potential of the vehicle ground (GND).
  • the safety-relevant control device (ECU) comprises a charging circuit (ECUVC) as a further device.
  • the charging circuit draws electrical power from the supply voltage (V bat ) and the safety-related control unit (ECU) ground pin, which is the internal ground of the safety-related control unit (ECU).
  • the charging circuit (ECUVC) charges the energy reserve (C) in the form of a capacitor, for example, to the potential of an internal supply voltage (V bati ).
  • the charging circuit (ECUVC) also supplies the control circuit (ECUIC) of the safety-related control circuit (ECU) with electrical energy via the internal supply voltage (V bati ) in the first operating state of the charging circuit (ECUVC).
  • the safety-related control circuit (ECUIC) and the charging circuit (ECHVC) can be manufactured in one piece, monolithically integrated on a semiconductor crystal.
  • the safety-related control circuit (ECUIC) of the safety-related control device (ECU) can switch the charging circuit from the first operating state to a second operating state via a switch-off line (ECUVCL).
  • the charging circuit (ECUVC) In the second operating state of the charging circuit (ECUVC), the charging circuit (ECUVC) does not charge the energy reserve (C) in the form of a capacitor, for example.
  • the charging circuit (ECUVC) does not supply electrical energy to the control circuit (ECUIC) of the safety-related control circuit (ECU) when the charging circuit (ECUVC) is in the second operating state.
  • the energy reserve (C) supplies the safety-related control circuit (ECUIC) of the safety-related control device (ECU) and possibly other sub-devices of the safety-related control device (ECU) with electrical energy.
  • the power consumption of the charging circuit (ECUIC) and thus of the safety-related control device (ECU) is therefore reduced in the second operating state.
  • the internal ground point (GNDi) of the safety-related control unit (ECU) is connected to the vehicle ground (GND) via the parasitic ground resistance (RGND).
  • This parasitic ground resistance (R GND ) is typically around 20hm.
  • the current flow of the current consumption of the safety-related control device (ECU) via this ground resistance (R GND ) therefore leads to a ground offset.
  • the ground offset has a ground offset voltage ( ⁇ V GND ).
  • ⁇ V GND ground offset voltage
  • the mass offset can then be different from OV. This ground offset can therefore lead to the problems described above in the event of a short circuit (SC1, SC2) of a connecting line of the safety-related control device (ECU) to the vehicle ground (GND).
  • FIG. 5 shows an example of an airbag control device as a safety-related control device (ECU).
  • the safety-related control unit (ECU) is connected to several squibs via connecting lines.
  • a squib (SQ) of the squibs is connected to the safety-relevant control device (ECU) with a first connection line (AS1) and a second connection line (AS2).
  • the safety-related control device (ECU) evaluates signals from sensors (SO).
  • an exemplary sensor (SO) is connected to the safety-related control circuit (ECUIC) of the safety-related control device (ECU) via a sensor line (SOL).
  • ECU safety-related control circuit
  • the safety-related function is now implemented by the safety-related control device (ECU) in such a way that it uses one or more sensors (SO) to detect a safety-related incident, for example an accident.
  • the safety-related control device (ECU) preferably communicates with the sensors via the sensor lines (SOL).
  • the sensor lines can be a PSI5 data bus or a DSI3 data bus or the like.
  • ECU safety-related control circuit
  • ECU safety-related control circuit
  • the safety-related control circuit (ECUIC) of the safety-related control device (ECU) determines such a safety-related incident, here for example an accident, the safety-related control device (ECUIC) carries out its safety-related function. In the example of Figure 5, this is the firing of the squib (SQ) to deploy the airbags of the exemplary airbag system.
  • a first short circuit (SC1) can now occur between the first connection line (AS1) of the squib (SQ) and the vehicle ground (GND).
  • a second short circuit (SC2) can also occur between the second connection line (AS2) of the squib (SQ) and the Vehicle ground (GND).
  • ECUVC safety-related control circuit
  • ECUVCL shutdown line
  • ECU safety-related control device for the vehicle, for example
  • ECU ECUIC safety related control device
  • ECUVC Safety related control unit (ECU) charging circuit This
  • the control circuit (ECUIC) of the safety-related control device (ECU) brings the additional device, here the charging circuit (ECUVC) of the safety-related control device, into a second operating state in which the additional device draws a lower current from the vehicle electrical system and thus less contributes to the ground offset voltage ( ⁇ V GND ).
  • the control circuit (ECUIC) of the safety-relevant control device (ECU) will switch off the further device completely by means of the shutdown line, so that the current consumption of the further device, which is then no longer present, preferably no longer contributes to the ground offset voltage ( ⁇ V GND );
  • GND vehicle ground also referred to here as another ground point of the vehicle
  • GNDi internal ground here also as a ground contact of the safety-relevant
  • control device ECU
  • R GND ground resistance ECU
  • SOL sensor connection line
  • GND vehicle ground
  • V bat supply voltage V bati internal supply voltage
  • V batsup Voltage source to generate the potential of the supply voltage
  • V bat vehicle ground potential
  • GND vehicle ground potential

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • Air Bags (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung. Die Steuervorrichtung weist eine Energiereserve auf und empfängt Signale von Sensoren und/oder anderen Systemen. Sie besitzt einen ersten und einen zweiten Betriebszustand. Die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung ist im ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand. Das Verfahren umfasst das Feststellen eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen der Sensoren und/oder der anderen Systeme gefolgt von einem Umschalten auf den zweiten Betriebszustand im Falle eines sicherheitskritischen Ereignisses, das Durchführen der sicherheitsrelevanten Funktion der sicherheitsrelevanten Steuervorrichtung im zweiten Betriebszustand. Das Besondere ist, dass die Versorgung der sicherheitsrelevanten Steuervorrichtung aus der Energiereserve erfolgt, wenn die sicherheitsrelevante Steuervorrichtung sich im zweiten Betriebszustand befindet, wodurch die Lösung den möglicherweise sicherheitskritischen Masseversatz vermindert oder vermeidet.

Description

Verfahren zur Verhinderung der Nichtauslösung von Airbags durch Kurzschlüsse an Zuleitungen anderer Airbags
Feld der Erfindung
Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung.
Einleitung
Die hier vorgelegte Schrift erläutert die Probleme des Stands der Technik anhand der Figuren 1 und 2 aus dem Stand der Technik.
Sicherheitsrelevante Applikationen wie ein Airbag-Steuergerät weisen die Notwendigkeit auf, auch bei Vorliegen äußerer Fehlereinflüsse z.B. im Zusammenhang mit Unfällen möglichst ausfallsicher funktionieren zu müssen. Solche Ausfälle äußerer Fehlereinflüsse können beispielsweise Kurzschlüsse und Unterbrechungen im Kabelbaum sein. Die modernen Airbag-Steuergeräte umfassen heute typischerweise integrierte Schaltungen, bei denen bevorzugt eine integrierte Schaltung mehrere Zündpillen der Airbags zündet. Dabei ist je Zündpille typischerweise ein Zündkreis vorgesehen, mittels dessen die betreffende integrierte Schaltung innerhalb des Airbag-Steuergeräts die Zündpille im Falle eines Unfalls zündet und für eine Entfaltung des Airbags sorgt. Ein Kurzschluss an einer Zuleitung einer Zündpille gegen die Fahrzeugmasse darf dabei die Zündung der anderen Zündpillen der anderen Zündkreise nicht verhindern oder beeinträchtigen.
Im Falle eines Unfalls können jedoch durchaus ein oder mehrere Zuleitungen der Zündpillen eines Airbag-Zündsystems in Folge der hohen unvorhersehbaren mechanischen Einwirkungen in Kontakt mit elektrisch leitenden Teilen der Karosserie geraten. Hierdurch können sehr niederohmige Kurzschlüsse einer Zuleitung einer Zündpille gegen die Fahrzeugmasse entstehen. Weist nun die Massezuleitung des Airbag-Steuergeräts einen größeren Zuleitungswiderstand auf, so kann über diesen Zuleitungswiderstand eine Spannung gegenüber der echten Fahrzeugmasse abfallen. In Folge dessen befindet sich dann der Masse-Anschluss des Airbag-Steuergeräts (GNDi) auf einem höheren elektrischen Potenzial als der gegen die Fahrzeugmasse kurzgeschlossene Anschluss der Zündpille.
Dies führt in der Konsequenz zu einem ungewollten Stromfluss von der Massezuleitung des Airbag- Steuergeräts (GNDi) über die ESD-Dioden oder parasitären Dioden Dl und D2 zu dem kurzgeschlossenen Anschluss der Zündpille. Diese Kurzschlüsse treten also primär an den Treiberleitungen der Zündpille auf.
Ein solcher, ungewollter Stromfluss kann zu einer nicht zulässigen Beeinträchtigung sicherheitsrelevanter Funktionalitäten führen. Eine aus dem Stand der Technik bekannte Lösung ist die Verwendung von Dioden. Diese Dioden verbinden einen gegen die Fahrzeugmasse kurzgeschlossenen Anschluss der Zündpille mit dem Masse-Anschluss des Airbag-Steuergeräts, wenn die Spannungsdifferenz zwischen der Fahrzeugmasse und dem Potenzial Masse-Anschluss des Airbag-Steuergeräts größer ist als die Schleusenspannung der betreffenden Diode. Diese Dioden verbinden einen gegen die Fahrzeugmasse kurzgeschlossenen Anschluss der Zündpille mit dem Masse-Anschluss des Airbag-Steuergeräts also dann, wenn die Fahrzeugmasse also um mehr als die Schleusenspannung der Diode unter dem Potenzial des Masse-Anschlusses des Airbag-Steuergeräts liegt. Diese Dioden D3, D4 können die dann entstehenden Ausgleichströme an dem relevanten Anschluss der Zündpille vorbeiführen. Dies ist in Figur 2 dargestellt und entspricht dem Stand der Technik. Diese Lösung aus dem Stand der Technik stellt eine kostenintensive Lösung mit ungünstiger Diagnosefähigkeit beispielsweise bedingt durch zusätzliche Leckströme dar.
Das sicherheitsrelevante Airbag-Steuergerät soll insbesondere diagnostizierbar bzw. zündfähig hinsichtlich der Squib-Treibladungen bleiben, sofern Fehlereinflüsse wie oben angedeutet auftreten, bei denen gleichzeitig sowohl von Kurzschlüssen zur Fahrzeugmasse, als auch von einem erhöhten GND Widerstand ausgegangen werden muss.
Die kurzgeschlossenen Anschlüsse der Zündpille führen dann in diesem Fehlerfall durch das über den Massewiderstand ansteigende Massepotential des Masseanschlusses des Airbag-Steuergeräts den Massestrom potentiell über zumindest in Teilen in die Fahrzeugmasse hinein ab. Dies führt zu einer Substratstrominjektion in der betreffenden integrierten Schaltung des Airbag-Steuergeräts mit dem hohen Potenzial, Folgefehler zu generieren.
Im Rahmen von Recherchen zum Artikel vom 29.04.2019 wurde offenbar, dass auch bei bestehenden
Applikationen im automobilen Umfeld mutmaßlich in ähnlicher Art und Weise ein auftretender EOS die angeforderten, beabsichtigten Zündvorgänge im Falle eines ungünstig verlaufenden Unfalls unterbinden kann.
(Quelle: https://www.pcwelt.de/news/Riesen-Rueckruf-droht-Ueber-12-Millionen-Airbags-koennten- versagen-10581707.html) Beispielhafte Airbag-Schaltungen aus dem Stand der Technik sind die DE 39 25 594 A1 und die DE 3 738 862 A1. Aus der DE 10255429 A1 ist eine relevante Vorrichtung mit Funktionsautakie bekannt.
Aufgabe
Die Aufgabe, die dem Vorschlag zugrunde liegt, ist es daher, eine Lösung zu schaffen, die die obigen Nachteile des Stands der Technik nicht aufweist und weitere Vorteile aufweist.
Im Applikationsumfeld von Airbags soll im Falle von Masseversatz kein Substratstrom und damit keine negative Beeinflussung sicherheitsrelevanter Funktionen auftreten.
Verfahren nach den unabhängigen Ansprüchen lösen diese Aufgabe. Weitere Ausgestaltungen sind Gegenstand von Unteransprüchen.
Lösung der Aufgabe
Sicherheitsrelevante Systeme wie z.B. Airbag-Steuergeräte weisen bevorzugt Energiespeicher auf. Diese Energiespeicher dienen zur zumindest zeitweisen energetischen Selbstversorgung. Diese Selbstversorgung ist notwendig im Falle einer Unterbrechung der Energieversorgung in Zusammenhang mit einem Unfall. Airbag-Steuergeräte können bevorzugt diesen Betriebszustand einer energetischen Notversorgung aus der Energiereserve aktiv forcieren.
Die kostengünstigere Alternative im Vergleich zur Lösung der Figur 2 besteht darin, den Modul- Versorgungsstrom temporär auf ein Minimum zu reduzieren. Typischerweise verfügen die Airbag- Steuersysteme über einen solchen Betriebsmodus mit geringerem Energieverbrauch, den so genannten Autarky-Betrieb mit einer Eigenversorgung über eine Energiereserve. Als Energiereserve verwendet solche Vorrichtungen bevorzugt Kondensatoren.
Die Energieversorgung der Vorrichtung kann den Autarky-Betrieb kann über den typischerweise für Airbag-Steuergeräte verfügbaren Betriebsmodus mittels Selbstversorgung (auch Autarky genannt) aus der besagten Energiereserve erreichen. Diese besteht in der Regel aus entsprechenden Kondensatoren entsprechender Kapazität. Ein Konstrukteur legt bevorzugt diese Kapazität typischerweise für die Zündvorgänge nach Wegfall der Batterieversorgung des Fahrzeugs aus.
Potentiell kann der Fachmann diese Methode auf alle Systeme mit zumindest zeitweise verfügbarer Selbstversorgung anwenden.
Die Erfindung betrifft somit Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung. Dabei weist die Steuervorrichtung eine Energiereserve auf. Das Fahrzeug weist typischerweise ein elektrisches Bordnetz mit Versorgungsspannungsleitungen auf. Die Steuervorrichtung empfängt Signale von Sensoren und/oder anderen Systemen. Die sicherheitsrelevante Steuervorrichtung weist einen ersten Betriebszustand und einen zweiten Betriebszustand auf. Dabei ist bevorzugt die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung im ersten Betriebszustand betragsmäßig kleiner als im zweiten Betriebszustand. Dennoch kann bevorzugt im ersten und zweiten Betriebszustand die sicherheitsrelevante Steuervorrichtung ihre sicherheitsrelevante Funktion ausüben.
Das Verfahren umfasst bevorzugt den Schritt des Bereitstellens einer Energiereserve. Das Verfahren umfasst bevorzugt den Schritt des Auswertens der Signale der Sensoren und/oder der anderen Systeme. Das Verfahren umfasst bevorzugt den Schritt des Feststellens eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen der Sensoren und/oder der anderen Systeme. Das Verfahren umfasst bevorzugt den Schritt des Umschaltens auf den zweiten Betriebszustand im Falle eines sicherheitskritischen Ereignisses. Das Verfahren umfasst bevorzugt den Schritt des Durchführens der sicherheitsrelevanten Funktion der sicherheitsrelevanten Steuervorrichtung im zweiten Betriebszustand.
Das Verfahren ist gekennzeichnet durch den Schritt der Versorgung der sicherheitsrelevanten Steuervorrichtung aus der Energiereserve, wenn die sicherheitsrelevante Steuervorrichtung sich im zweiten Betriebszustand befindet. Um jede Art von Störung über das Bordnetz während eines Unfalls auszuschließen erfolgt das Versorgen der sicherheitsrelevanten Steuervorrichtung nur im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Aus dem gleichen Grund erfolgt das Laden der Energiereserve nur im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Sofern es nun zu einem Unfall kommt erfolgt möglichst sofort nach der Feststellung des sicherheitsrelevanten Ereignisses ein Trennen der sicherheitsrelevanten Steuervorrichtung im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und den Versorgungsspannungsleitungen mittels einer Trennvorrichtung. Diese Trennung sollte bevorzugt unabhängig von der Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen einerseits und dem Potenzial eines Bezugspotenzialknotens des sicherheitsrelevanten Steuergeräts andererseits erfolgen. Dies stellt sicher, dass keine Energie aus der Energiereserve in das Boardnetz abfließt. Daher erfolgt bevorzugt auch ein Trennen der Energiereserve im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und den Versorgungsspannungsleitungen mittels einer Trennvorrichtung. Diese Trennung bedeutet, dass ein ggf. noch fließender Reststrom die Funktion der sicherheitsrelevanten Vorrichtung nicht mehr beeinträchtigen kann. Diese Trennung der Energiereserve vom Bordnetz erfolgt natürlich bevorzugt ebenfalls unabhängig von der Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen einerseits und dem Potenzial eines Bezugspotenzialknotens des Sicherheitsrelevanten Steuergeräts andererseits. Bevorzugt verwendet das vorgeschlagene Verfahren für beide Trennungen die gleiche Trennvorrichtung. Hierbei kann es sich um Transistoren oder andere elektrische Schalter handeln. Bevorzugt betätigt die sicherheitsrelevante Steuervorrichtung diese Trennvorrichtungen, wenn diese einer Betätigung bedürfen. Das Verfahrensprinzip lässt sich auch auf die Durchführung sicherheitsrelevanter Tests anwenden. Es handelt sich dann um ein Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung, wobei die Steuervorrichtung eine Energiereserve aufweist, wobei die sicherheitsrelevante Steuervorrichtung einen ersten Betriebszustand und einen zweiten Betriebszustand aufweist. Die Energieaufnahme aus der Batterie der sicherheitsrelevanten Steuervorrichtung ist bevorzugt im ersten Betriebszustand betragsmäßig höher als im zweiten Betriebszustand. Im ersten und zweiten Betriebszustand kann die sicherheitsrelevante Steuervorrichtung ihre sicherheitsrelevante Funktion ausüben, wobei die hier vorgelegte Schrift die Durchführung von sicherheitsrelevanten Tests hier als Durchführung einer sicherheitsrelevanten Funktion versteht. Das Verfahren umfasst in diesem Fall des sicherheitsrelevanten Tests dann die Schritte des Bereitstellens einer Energiereserve, des Feststellens der Notwendigkeit eines sicherheitskritischen Tests, des Umschaltens auf den zweiten Betriebszustand, des Durchführens des sicherheitsrelevanten Tests durch die sicherheitsrelevante Steuervorrichtung im zweiten Betriebszustand und des Zurückschaltens auf den ersten Betriebszustand. Das Verfahren zeichnet sich dabei durch den Schritt der Versorgung der sicherheitsrelevanten Steuervorrichtung aus der Energiereserve aus, wenn die sicherheitsrelevante Steuervorrichtung sich im zweiten Betriebszustand befindet. Eine Zeitscheibensteuerung oder ein Zeitgeber oder eine andere Vorrichtung können die Notwendigkeit eines sicherheitskritischen Tests beispielsweise feststellen.
Dieser Grundgedanke lässt sich noch erweitern. Die Ausarbeitung des hier vorgelegten Vorschlags führte zu der Erkenntnis, dass auch andere Systemkomponenten eines Fahrzeugs den Masseversatz der sicherheitsrelevanten Steuerung beeinflussen können.
Basierend auf den zuvor beschriebenen Verfahren ist daher ein Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung denkbar, bei dem die sicherheitsrelevante Steuervorrichtung eine Verbindung zu mindestens einer weiteren Systemkomponente des Fahrzeugs aufweist. Solche weiteren Systemkomponenten können beispielsweise, aber nicht nur, Sitzheizungen oder Stellmotoren oder ähnliches sein, die die Vorrichtung nicht in Bezug auf die Sicherheitsfunktion benötigt und auf deren Funktion die Vorrichtung zumindest zeitweise oder speziell im Falle eines Unfalls verzichten kann. Die besagte Verbindung zwischen der sicherheitsrelevanten Steuervorrichtung und der weiteren Systemkomponente kann eine analoge oder digitale direkte Punkt-zu-Punkt-Verbindung zwischen der sicherheitsrelevanten Steuervorrichtung und der weiteren Systemkomponente sein. Ein gemeinsamer Datenbus oder dergleichen kann eine solche Verbindung auch herstellen. Es ist aber auch denkbar, dass eine übergeordnete Rechnereinheit die Verbindung zwischen der sicherheitsrelevanten Steuervorrichtung und der weiteren Systemkomponente herstellt, die mit einem ersten Datenbus verbunden ist und mit einem zweiten, davon getrennten Datenbus verbunden ist. Die sicherheitsrelevante Steuervorrichtung ist dann beispielsweise mit dem ersten Datenbus verbunden und die weitere Systemkomponente mit dem zweiten Datenbus. Somit kann dann die sicherheitsrelevante Steuervorrichtung nur indirekt über die übergeordnete Rechnereinheit mit der weiteren Systemkomponente kommunizieren. Das Problem tritt nun dadurch auf, dass die sicherheitsrelevante Steuervorrichtung einen Masseanschluss aufweist, die weitere Systemkomponente einen ersten Betriebszustand und einen zweiten Betriebszustand aufweist und dass die Energieaufnahme dieser weiteren Systemkomponente im ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand. Hierdurch kommt es beim Betrieb der weiteren Systemkomponente im ersten Betriebszustand der weiteren Systemkomponente zu einem ersten zusätzlichen Masseversatz des Potenzials des Masseanschlusses der sicherheitsrelevanten Steuervorrichtung gegenüber einem Referenzpotenzial, Des Weiteren kommt es beim Betrieb der weiteren Systemkomponente im zweiten Betriebszustand der weiteren Systemkomponente zu einem zweiten zusätzlichen Masseversatz des Potenzials des Masseanschlusses der sicherheitsrelevanten Steuervorrichtung gegenüber einem Referenzpotenzial. Der hier vorgelegte Text nimmt beispielhaft an, dass der zweite Masseversatz auch 0V betragen kann. Beispielhaft nehmen wir also an, dass der Betrag des ersten Masseversatzes größer ist als der Betrag des zweiten Masseversatzes. Dieser zusätzliche Masseversatz kann das zuvor beschriebene Problem verschärfen. Der hier vorgelegte Text schlägt nun vor, dass zur Verminderung der Auswirkungen des Masseversatzes die sicherheitsrelevante Steuervorrichtung die sicherheitsrelevante einen Wechsel des Betriebszustandes der weiteren Systemkomponente veranlassen kann. Das Fahrzeug kann also im Falle eines Unfalls in einen Unfall-Betriebszustand schalten, in dem die sicherheitsrelevante Steuervorrichtung oder eine übergeordnete Vorrichtung alle unnötigen Verbraucher u.a. zur Verminderung der Masseversätze abschalten. Es kann aber auch vorteilhaft sein, weniger wichtige Systemkomponenten im Normalbetrieb für die Durchführung sicherheitskritischer Tests vorübergehend in einen stromsparenden Betriebszustand zu versetzen.
Ein solches Verfahren umfasst dann bevorzugt den Schritt des Feststellens der Notwendigkeit eines sicherheitskritischen Tests durch die sicherheitsrelevante Steuervorrichtung. Des Weiteren umfasst ein solches Verfahren dann bevorzugt den Schritt des Umschaltens der weiteren Systemkomponente auf den zweiten Betriebszustand der weiteren Systemkomponente. Außerdem umfasst ein solches Verfahren dann bevorzugt den Schritt des Durchführens des sicherheitsrelevanten Tests durch die sicherheitsrelevante Steuervorrichtung. Die weitere Systemkomponente befindet sich dabei während des sicherheitsrelevanten Tests im zweiten Betriebszustand der weiteren Systemkomponente.
Schließlich umfasst ein solches Verfahren dann bevorzugt den Schritt des Beendens des sicherheitsrelevanten Tests und Zurückschalten der weiteren Systemkomponente auf den ersten Betriebszustand der weiteren Systemkomponente.
Wie bereits erwähnt, kann eine übergeordnete Steuereinheit eine indirekte Verbindung der sicherheitsrelevanten Steuervorrichtung mit weiteren Systemkomponenten bereitstellen und darstellen.
Im Folgenden stellt die hier vorgelegte Schrift nun verschiedene, sehr ähnliche Verfahren und deren Varianten vor deren Merkmale ein Anwender der technischen Lehre dieser Schrift bei Sinnhaftigkeit miteinander ausdrücklich kombinieren kann. Die Kombinationen - soweit sinnvoll - sind also ausdrücklich Teil der Offenlegung dieser Schrift, auch wenn verschiedene Merkmale in unterschiedlichen Verfahrensvarianten Erwähnung finden. Ein Beispiel wäre hier z.B. eine Trennvorrichtung, die im Folgenden eine Variante erwähnt, die aber ein Anwender in allen Verfahrensvarianten als Mittel zur Stromaufnahmereduktion einsetzten kann.
ERSTES VERFAHEREN
Der hier vorgelegte Vorschlag betrifft somit ein Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung in einem Fahrzeug. Das Fahrzeug weist bevorzugt eine weitere Vorrichtung (ECUVC) auf, bei der es sich bevorzugt um eine Ladeschaltung (ECHVC) für die Energiereserve (C) der sicherheitsrelevanten Steuervorrichtung (ECU) handelt. Typischerweise versorgt diese Ladeschaltung (ECUVC) die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) und ggf. andere Vorrichtungsteile der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU), also im Normalbetrieb, mit elektrischer Energie. Die die Steuervorrichtung (ECU) weist einen internen Massekontakt (GNDi) auf. Das Fahrzeug weist einen anderen Massepunkt (GND), typischerweise die Karosserie des Fahrzeugs als Fahrzeugmasse, auf. Die Steuervorrichtung umfasst die bereits erwähnte Energiereserve (C) aufweist. Die weitere Vorrichtung kann Teil der Sicherheitsrelevanten Steuervorrichtung (ECU) sein. Beispielsweise kann es sich bei der weiteren Vorrichtung um die Ladeschaltung (ECUVC) der sicherheitsrelevanten Vorrichtung (ECU) handeln. Es kann sich aber auch bei der weiteren Vorrichtung um eine Vorrichtung des Fahrzeugs handeln, die nicht Teil der sicherheitsrelevanten Steuervorrichtung (ECU) ist. Eine solche weitere Vorrichtung kann beispielsweise eine Sitzheizung oder dergleichen sein. Die Stromaufnahme dieser für das hier diskutierte Problem relevanten, weiteren Vorrichtung trägt in einem aktiven Betriebszustand zu einer Vergrößerung des Betrags der Masseversatzspannung (ΔVGND) bei. Die die hier vorgestellte sicherheitskritische Steuervorrichtung (ECU) oder eine andere Vorrichtung des Fahrzeugs schalten daher diese weitere Vorrichtung bei einem sicherheitskritischen Vorfall ab, sodass die weitere Vorrichtung keinen Strom mehr in die mit der sicherheitsrelevanten Steuervorrichtung gemeinsame Masseleitung einspeist oder nur noch einen wesentlich geringeren Strom in diese Masseleitung einspeist. Die weitere Vorrichtung weist somit im Normalbetrieb eine Stromaufnahme eines elektrischen Stromes auf zu ihrem Betrieb auf. Dieser elektrische Strom der weiteren Vorrichtung kann zu einem Masseversatz mit einer von 0V verschiedenen Masseversatzspannung (ΔVGND) führen. Diese Masseversatzspannung (ΔVGND) entsteht dabei zwischen dem internen Massekontakt (GNDi) der sicherheitsrelevanten Steuervorrichtung (ECU) einerseits und dem anderen Massepunkt (GND) des Fahrzeugs. Der andere Massepunkt (GNDi) kann beispielsweise die Karosserie als Fahrzeugmasse sein. Bei einem Kurzschluss zwischen einer anderen Leitung der sicherheitsrelevanten Steuervorrichtung (ECU) einerseits und diesem anderen Massepunkt (GND) des Fahrzeugs andererseits kann die betreffende kurzgeschlossene Leitung unter das Potenzial des internen Massekontakts (GNDi) des sicherheitsrelevanten Steuergeräts (ECU) geraten. Eine solche andere Leitung der sicherheitsrelevanten Steuervorrichtung (ECU) kann beispielsweise eine Zuleitung eines Sensors der sicherheitsrelevanten Steuervorrichtung (ECU) oder eine Zündleitung (AS1, AS2) einer Zündpille (SQ.) eines Airbags sein. Der zuletzt genannte Fall bezieht sich dabei auf den Fall eines Airbag-Steuersystems als sicherheitsrelevanter Steuervorrichtung (ECU). In dem Fall würde dieser Kurzschluss ggf. sehr große Ladeströme aus der Ladeschaltung (ECUVC) entnehmen und dann die sicherheitsrelevante Steuervorrichtung (ECU) beschädigen oder zerstören. In dem Fall könnte die Steuervorrichtung ihre sicherheitsrelevante Funktion nicht mehr ausüben. Wie bereits erwähnt, empfängt die Steuervorrichtung (ECU) Signale von Sensoren und/oder anderen Systemen des Fahrzeugs. Beispielsweise können Datenbusse diese Sensoren und/oder andere Systeme einerseits mit der sicherheitsrelevanten Steuervorrichtung (ECU) andererseits elektrisch und/oder informationstechnisch verbinden. Diese Verbindungen können drahtgebunden oder drahtlos sein. Sofern sie drahtgebunden sind, kommen beispielsweise Datenbus wie der CAN-Datenbus, der PSI5- Datenbus, der DSI3-Datenbus, der Lin-Datenbus PWM-Verbindungen, einfache digitale und analoge Leitungen und/oder Leitungsbündel und dergleichen in Frage. Es kann sich auch um optische Datenbusse über Lichtwellenleiter handeln. Sofern es sich um elektrische Datenbusse handelt, kann ein Kurzschluss zwischen einem solchen elektrischen Datenbus und einem anderen Massepunkt (GND) des Fahrzeugs zu einem ähnlichen Effekt führen. Ein solcher Kurzschluss kann beispielsweise der Kurzschluss eines elektrischen Datenbusses mit der Karosserie des Fahrzeugs sein. Dies kann dann den Effekt haben, dass dann das Potenzial der kurzgeschlossenen Datenleitung unter dem Potenzial des internen Massekontakts (GDi) der sicherheitsrelevanten Steuervorrichtung (ECU) liegt. Wie zuvor kann dann ohne weitere Maßnahmen ein ungehemmter Stromfluss über diese kurzgeschlossene Datenleitung zu dem anderen Massepunkt (GND) einsetzen, der die sicherheitsrelevante Steuervorrichtung in ihrer Funktion beeinträchtigen kann, die Ausübung der sicherheitsrelevanten Funktion durch die sicherheitsrelevante Vorrichtung (ECU) verhindern kann oder sogar die sicherheitsrelevante Vorrichtung beschädigen oder zerstören kann. Im Sinne dieser Schrift weist die sicherheitsrelevante Steuervorrichtung (ECU) einen ersten Betriebszustand für den Normalbetrieb und einen zweiten Betriebszustand für den Fall der Ausübung der sicherheitsrelevanten Funktion auf. Im Falle einer Airbag-Steuerungsvorrichtung (Airbag- Steuergeräts) als sicherheitsrelevante Steuerungsvorrichtung (ECU) ist der erste Betriebszustand der normale Betriebszustand ohne Unfall und der zweite Betriebszustand der Zustand, in dem die Airbag- Steuerungsvorrichtung (ECU) einen Unfall mittels ihrer Sensoren detektiert und Airbags zündet. Die hier vorgelegte Schrift schlägt nun zur Vermeidung der zuvor beschriebenen Probleme somit vor, dass die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten Betriebszustand betragsmäßig höher, nämlich normal, ist als im zweiten Betriebszustand. Dies hat den Vorteil, dass der Stromfluss über die elektrischen Versorgungsleitungen der sicherheitsrelevanten Steuervorrichtung (ECU) in Folge der verminderten Stromaufnahme minimiert ist. Dies reduziert den Masseversatz, in Form einer Masseversatzspannung (ΔVGND), die über den Massewiderstand RGND abfällt. Das wiederum reduziert den Strom, der über einen Kurzschluss (SC1, SC1) eines anderen Anschlusses der sicherheitsrelevanten Steuervorrichtung (ECU) zum den anderen Massepunkt (GND) des Fahrzeugs infolge dieses Kurzschlusses (SC1, SC2) abfließt. Dies wiederum verhindert oder vermindert den Einfluss dieses Kurzschlussstromes auf die Funktionstüchtigkeit der sicherheitsrelevanten Steuerungsvorrichtung (ECU). Insbesondere die im Folgenden noch weiter ausgeführten Maßnahmen betreffend die Ladeschaltung reduzieren den Kurzschlussstrom um typischerweise mehrere Größenordnungen. (z.B. vom A-Bereich in den mA-Bereich). Im ersten und zweiten Betriebszustand kann die sicherheitsrelevante Steuervorrichtung (ECU) ihre sicherheitsrelevante Funktion ausüben. Allerdings sollte die Steuervorrichtung vorzugsweise in den zweiten Betriebszustand wechseln, um die sicherheitsrelevanten Funktion auszuüben. Bevorzugt ist es daher so, dass die sicherheitsrelevante Vorrichtung sich im Normalbetrieb im ersten Betriebszustand und bei der Ausübung der sicherheitsrelevanten Funktion im zweiten Betriebszustand befindet. In dieser Schrift ist dies als "kann" Aussage beschrieben, da die sicherheitsrelevante Steuerungsvorrichtung (ECU) noch im ersten Betriebszustand mit der Ausübung der sicherheitsrelevanten Funktion beginnen kann, bevor sie vollständig den zweiten Betriebszustand eingenommen hat. Wie bereits erwähnt umfasst das Fahrzeug die besagte weitere Vorrichtung. Bevorzugt weist die die weitere Vorrichtung (ECUVC) eine erste Stromaufnahme auf, wenn sich die Steuervorrichtung (ECU) im ersten Betriebszustand befindet und eine zweite Stromaufnahme, wenn sich die sicherheitsrelevante Steuerungsvorrichtung (ECU9 im zweiten Betriebszustand befindet. Das in dieser Schrift vorgestellte Verfahren umfasst typischerweise den Schritt des Bereitstellens einer Energiereserve (C). Hierzu stellt das Verfahren beispielsweise einen Kondensator (C) als Energiespeicherelement der sicherheitsrelevanten Steuervorrichtung (ECU) bereit und lädt bevorzugt diesen Kondensator (C) mittels einer Ladeschaltung (ECUVC) auf ein typischerweise vorgesehenes Energieniveau. Bevorzugt steuert eine Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) mittels einer Abschaltleitung und/oder weiterer Steuersignale den Ladevorgang der Energiereserve (C) durch die Ladeschaltung (ECUVC). Die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) wertet typischerweise im Betrieb die Signale der Sensoren und/oder der anderen Systeme aus und schließt ggf. auf einen sicherheitskritischen Vorfall, beispielsweise einen Unfall. Bei einem solchen sicherheitskritischen Vorfall bringt die Steuerschaltung (ECUIC) der sicherheitskritischen Steuervorrichtung (ECU) typischerweise die sicherheitskritische Steuervorrichtung (ECU) von dem ersten Betriebszustand in den zweiten Betriebszustand und veranlasst die sicherheitskritische Steuervorrichtung (ECU9 ihre sicherheitskritische Funktion, z.B. das Zünden von Airbags, auszuüben. Das in dieser Schrift vorgestellte Verfahren umfasst daher auch den Schritt des Feststellens eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen der Sensoren und/oder der anderen Systeme und den Schritt des Umschaltens des Betriebszustands der sicherheitskritischen Steuervorrichtung (ECU) auf den zweiten Betriebszustand im Falle eines sicherheitskritischen Ereignisses (Vorfall). Mit dieser Umstellung sieht das in dieser Schrift vorgeschlagene Verfahren das Durchführen der sicherheitsrelevanten Funktion der sicherheitsrelevanten Steuervorrichtung (ECU) im zweiten Betriebszustand vor. Um nun die zuvor beschriebenen Probleme auszuschließen, sieht das in dieser Schrift vorgeschlagene Verfahren vor, statt der Versorgung aus dem Bord-Netz des Fahrzeugs über dessen Versorgungsleitungen eine Versorgung der sicherheitsrelevanten Steuervorrichtung (ECU) aus der Energiereserve (C) vorzunehmen, wenn die sicherheitsrelevante Steuervorrichtung (ECU) sich im zweiten Betriebszustand befindet. Gleichzeitig sieht das in dieser Schrift vorgeschlagene Verfahren vor, eine möglichst große Änderung der Stromaufnahme der weiteren Vorrichtung (ECUVC) vorzunehmen, um den sich ergebenden Masseversatz, in Form einer Masseversatzspannung (AV), die über den parasitären Massewiderstand RGND auf der Masseversorgungsspannungsleitung abfällt, zu minimieren. Daher konfiguriert bevorzugt die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) oder eine andere Vorrichtung des Fahrzeugs die weitere Vorrichtung um. Bei der weiteren Vorrichtung kann es sich z.B. um die Ladeschaltung (ECUVC) der sicherheitsrelevanten Vorrichtung (ECU) handeln. Dieser Verfahrensschritt programmiert somit die weitere Vorrichtung bevorzugt dann so um, dass die weitere Vorrichtung dann eine zweite Stromaufnahme der weiteren Vorrichtung (ECUVC) zeigt, wenn sich die sicherheitsrelevante Steuervorrichtung (ECU) im zweiten Betriebszustand befindet. Der sich ergebende Masseversatzes fällt in Form einer verringerten Masseversatzspannung (AV) über den parasitären Massewiderstand RGND auf der Masseversorgungsspannungsleitung ab. Um den gewünschten Effekt einer
Verminderung dieses sich ergebenden Masseversatzes zu erzielen, ist die zweite Stromaufnahme der weiteren Vorrichtung (ECUVC) im zweiten Betriebszustand der sicherheitsrelevanten Steuerungsvorrichtung (ECU) typischerweise betragsmäßig kleiner als der Betrag der ersten Stromaufnahme der weiteren Vorrichtung (ECUVC) im ersten Betriebszustand der sicherheitsrelevanten Steuerungsvorrichtung (ECU). Ist dies erfüllt, so ist die Masseversatzspannung (ΔVGND) im zweiten Betriebszustand der sicherheitsrelevanten Steuerungsvorrichtung (ECU) gegenüber der des zweiten Betriebszustands der Steuerungsvorrichtung (ECU) verringert und damit die Robustheit und Betriebssicherheit gesteigert.
ZWEITES VERFAHEREN Die hier vorgelegte Schrift umfasst eine zweites ähnliches Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung (ECU) für Fahrzeuge, insbesondere für eine Airbag- Steuervorrichtung. Wie zuvor geht das Verfahren davon aus, dass die Steuervorrichtung eine Energiereserve aufweist und das Fahrzeug ein elektrisches Bordnetz mit Versorgungsspannungsleitungen aufweist. Dabei ist in der Regel eine Versorgungsspannungsleitung die Karosseriemasse des Fahrzeugs. Diese Versorgungsspannungsleitungen umfassen eine Versorgungsspannungsleitung, die auf der Versorgungsspannung gegenüber der Fahrzeugmasse liegt und die die hier vorgelegte Schrift auch als Versorgungsspannung (Vbat) bezeichnet. Wie zuvor empfängt die Steuervorrichtung (ECU) Signale von Sensoren und/oder anderen Systemen. Auch soll die sicherheitsrelevante Steuerungsvorrichtung (ECU) auch wieder einen ersten Betriebszustand und einen zweiten Betriebszustand aufweisen. Wie zuvor ist auch bei diesem Verfahren die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand. Die sicherheitsrelevante Steuervorrichtung kann ihre sicherheitsrelevante Funktion wie zu vor auch hier in diesem zweiten Verfahren im ersten und zweiten Betriebszustand ausüben. Wir verweisen hier ausdrücklich auf die Ausführungen zum ersten Verfahren, die auch hier zutreffen. Die hier vorgelegte Schrift beschreibt nun ein zweites Verfahren mit einem Schritt des Bereitstellens der Energiereserve (C). Wieder verweisen wir hier auf die obigen Ausführungen zum ersten Verfahren, die auch hier wieder zutreffen. Die hier vorgelegte Schrift beschreibt nun ein zweites Verfahren mit einem Schritt des Auswertens der Signale der Sensoren und/oder der anderen Systeme. Wieder verweisen wir hier auf die obigen Ausführungen zum ersten Verfahren, die auch hier wieder zutreffen. Wie im ersten Verfahren umfasst auch das zweite Verfahren den Schritt des Feststellens eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen der Sensoren und/oder der anderen Systeme. Wieder verweisen wir hier auf die obigen Ausführungen zum ersten Verfahren, die auch hier wieder zutreffen. Auch hier im zweiten Verfahren erfolgt wie im ersten Verfahren ein Schritt des Umschaltens auf den zweiten Betriebszustand im Falle eines sicherheitskritischen Ereignisses. Wieder verweisen wir hier auf die obigen Ausführungen zum ersten Verfahren, die auch hier wieder zutreffen. Wie im ersten Verfahren erfolgt auch im zweiten Verfahren ein Schritt des Durchführens der sicherheitsrelevanten Funktion der sicherheitsrelevanten Steuervorrichtung im zweiten Betriebszustand. Wieder verweisen wir hier auf die obigen Ausführungen zum ersten Verfahren, die auch hier wieder zutreffen. IN diesem zweiten Verfahren erfolgt nun das Versorgen der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Das zweite Verfahren umfasst das Laden der Energiereserve (C) im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Des Weiteren umfasst das zweite Verfahren den Schritt des Trennens der sicherheitsrelevanten Steuervorrichtung (ECU) im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und zwar insbesondere von den Versorgungsspannungsleitungen und zwar insbesondere von der Versorgungsspannung (Vbat) mittels einer Trennvorrichtung. Die technische Lehre der hier vorgelegten Schrift soll ausdrücklich die Kombination dieses Vorgehens des zweiten Verfahrens mit dem Vorgehen des ersten Verfahrens umfassen, auch wenn sie sich leicht unterscheiden. Letztlich ist ihnen gemeinsam, den Masseversatz in Form der Masseversatzspannung (ΔVGND) im Falle eines sicherheitskritischen Vorfalls zu minimieren. Diese Trennung des zweiten Verfahrens erfolgt unabhängig von der Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits und dem Potenzial eines Bezugspotenzialknotens (GNDi) der sicherheitsrelevanten Steuervorrichtung (ECU) andererseits erfolgt. Besonders vorteilhaft ist das in diesem zweiten Verfahren vorgesehene Trennen der Energiereserve (C) im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU) von dem elektrischen Bordnetz des Fahrzeugs und den Versorgungsspannungsleitungen und zwar insbesondere von der Versorgungsspannung (Vbat) mittels einer Trennvorrichtung. Hierbei reicht es in der Regel aus, wenn die Trennvorrichtung nur die Versorgungsspannung (Vbat) von der Sicherheitsrelevanten Steuervorrichtung und zwar bevorzugt zumindest von der sicherheitsrelevanten Steuerschaltung (ECUIC) trennt. Bevorzugt ist die Trennvorrichtung ein Transistor, den die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) oder weniger bevorzugt eine andere Teilvorrichtung der sicherheitsrelevanten Steuervorrichtung (ECU) mittels eines Trennsignals, das beispielsweise auch das Abschaltsignal (ECUVCL) sein kann, steuert. Bevorzugt erfolgt diese Trennung unabhängig von der Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen, und bevorzugt von dem Potenzial der Fahrzeugmasse (GND), einerseits und dem Potenzial eines Bezugspotenzialknotens (GNDi) des sicherheitsrelevanten Steuergeräts andererseits. Die Versorgung der sicherheitsrelevanten Steuervorrichtung (ECU) mit elektrischer Energie erfolgt bevorzugt in diesem zweiten Verfahren aus der Energie der Energiereserve (C), wenn die sicherheitsrelevante Steuervorrichtung sich im zweiten Betriebszustand befindet. Bei der ersten Trennung und der zweiten Trennung kann es sich um den gleichen Vorgang handeln. Beispielsweise kann eine einzelne Trennvorrichtung die elektrische Verbindung der Energiereserve (C) und der Steuerschaltung (ECUIC) der Steuervorrichtung mit der Versorgungsspannung (Vbat) trennen. Diese Verbindung kann indirekt beispielsweise über die Ladeschaltung (ECUVC) erfolgen. Die Trennvorrichtung kann Teil der Ladeschaltung, beispielsweise der Schalttransistor eines Schaltreglers der Ladeschaltung sein.
DRITTES VERFAHEREN
Die hier vorgelegte Schrift umfasst eine drittes, ähnliches Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag- Steuervorrichtung, Wie in den beiden zuvor vorgestellten Verfahrensvarianten geht dieses dritte Verfahren wieder davon aus, dass die sicherheitsrelevante Steuervorrichtung (ECU) eine Energiereserve aufweist und dass das Fahrzeug ein elektrisches Bordnetz mit Versorgungsspannungsleitungen aufweist. Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Wie zuvor sollen die Versorgungsspannungsleitungen eine Versorgungsspannung (Vbat) umfassen. Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Die sicherheitsrelevante Steuervorrichtung soll auch in diesem Verfahren wieder einen ersten Betriebszustand und einen zweiten Betriebszustand aufweisen. Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung soll wieder im ersten Betriebszustand der sicherheitsrelevanten Steuervorrichtung betragsmäßig höher sein als im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung. Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Im ersten und zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung kann wieder die sicherheitsrelevante Steuervorrichtung ihre sicherheitsrelevante Funktion ausüben. Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Das hier vorgestellte dritte Verfahren umfasst wieder den Schritt des Bereitstellens einer Energiereserve (C). Die Ausführungen zu diesem Punkt in den beiden Beschreibungen der beiden vorausgehenden Verfahren treffen typischerweise auf alle drei Verfahren zu. Die hier vorgestellte technische Lehre des dritten Verfahrens schlägt vor, dass beispielsweise die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) einen Schritt des Feststellens der Notwendigkeit eines sicherheitskritischen Tests durchführt. Die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) führt dann vorschlagsgemäß ein Umschalten der sicherheitsrelevanten Steuervorrichtung (ECU) auf den zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU) durch. Vorschlagsgemäß folgt dann der Schritt des Durchführens des sicherheitsrelevanten Tests durch die sicherheitsrelevante Steuervorrichtung (ECU) im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU). Bevorzugt führt die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) diesen Test durch. Nach dem Ende des Tests führt bevorzugt die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) ein typischerweise Zurückschalten der sicherheitsrelevanten Steuervorrichtung (ECU) auf den ersten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU) durch.
In diesem dritten Verfahren versorgt beispielsweise die besagte Ladeschaltung (ECUVC) der Steuervorrichtung (ECU) die sicherheitsrelevante Steuervorrichtung (ECU) im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Bevorzugt lädt ie besagte Ladeschaltung (ECUVC) der Steuervorrichtung (ECU) die Energiereserve (C) im ersten Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit elektrischer Energie. Das hier vorgestellte dritte Verfahren sieht ein Trennen der sicherheitsrelevanten Steuervorrichtung (ECU) im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und zwar insbesondere von den Versorgungsspannungsleitungen und zwar insbesondere von der Versorgungsspannung (Vbat) mittels einer Trennvorrichtung in einer ersten Trennung vor. Die obigen Ausführungen zur Trennvorrichtung treffen hier typischerweise ausdrücklich auch zu. Gemäß dem hier vorgeschlagenen dritten Verfahren erfolgt diese erste Trennung unabhängig von der Spannungsdifferenz, wobei diese Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen einerseits und dem Potenzial eines Bezugspotenzialknoten andererseits anliegt. Mit dem Potenzial der betreffenden Versorgungsspannungsleitungen ist typischerweise insbesondere das Potenzial der Fahrzeugasse (GND) in dieser Schrift gemeint. Mit dem Potenzial des Bezugsknotens ist hier typischerweise insbesondere das Potenzial der internen Masse (GNDi) der sicherheitsrelevanten Steuervorrichtung (ECU) gemeint. Des Weiteren sieht das dritte Verfahren ein Trennen der Energiereserve im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und den Versorgungsspannungsleitungen mittels einer Trennvorrichtung in einer zweiten Trennung vor. Diese zweite Trennung erfolgt typischerweise ebenfalls unabhängig von der Spannungsdifferenz zwischen dem Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits und dem Potenzial eines Bezugspotenzialknotens (GNDi) des Sicherheitsrelevanten Steuergeräts andererseits. Die hier vorgelegte Schrift weist ausdrücklich auf die obigen Ausführungen zur ersten und zweiten Trennung und der Trennvorrichtung im Zusammenhang mit der Beschreibung des ersten und zweiten Verfahrens hin. Diese Ausführungen treffen auch hier zu. Insbesondere kann der Vorgang der ersten Trennung gleich dem der zweiten Trennung sein. Die Versorgung der sicherheitsrelevanten Steuervorrichtung (ECU) erfolgt gemäß dem dritten Verfahren aus der Energiereserve (C), wenn die sicherheitsrelevante Steuervorrichtung (ECU) sich im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU) befindet.
ERSTE VARIANTE DER VORGESTELLTEN VERFAHREN
In einer ersten Variante der drei zuvor beschriebenen Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung (ECU) weist die Steuervorrichtung (ECU) eine Verbindung zu mindestens einer weiteren Systemkomponente des Fahrzeugs auf. Wie zuvor beschrieben weist die sicherheitsrelevante Steuervorrichtung (ECU) einen Masseanschluss (GNDi) auf. Auch diese weitere Systemkomponente weist einen ersten Betriebszustand und einen zweiten Betriebszustand auf. Die Energieaufnahme dieser weiteren Systemkomponente ist bevorzugt im ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand. Damit diese weitere Systemkomponente für das hier diskutierte Problem relevant ist, kann ein Betrieb der weiteren Systemkomponente im ersten Betriebszustand der weiteren Systemkomponente einen ersten zusätzlichen Masseversatz des Potenzials des Masseanschlusses der sicherheitsrelevanten Steuervorrichtung (GNDi) gegenüber einem Referenzpotenzial verursachen. Das Referenzpotenzial kann dabei die Fahrzeugmasse (GND) sein. Ein Betrieb der weiteren Systemkomponente im zweiten Betriebszustand der weiteren Systemkomponente kann einen zweiten zusätzlichen Masseversatz des Potenzials des Masseanschlusses (GNDi) der sicherheitsrelevanten Steuervorrichtung (ECU) gegenüber einem Referenzpotenzial (z.B. GND) verursachen, der auch 0V betragen kann. Der Betrag des ersten Masseversatzes ist dabei infolge der größeren Stromaufnahme größer ist als der Betrag des zweiten Masseversatzes infolge der dann geringeren Stromaufnahme. Die weitere Systemkomponente des Fahrzeugs ist also insbesondere dann für diesen Fall relevant, wenn der Massestrom der weiteren Systemkomponente des Fahrzeugs über die gleiche Masseleitung, die die Masseleitung der sicherheitsrelevanten Steuervorrichtung (ECU) fließt. Der Massestrom verursacht dann einen zusätzlichen Spannungsabfall über den Massewiderstand (RGND) und damit einen zusätzliche Masseversatz (ΔVGND). Das Besondere ist nun, dass die sicherheitsrelevante Steuervorrichtung (ECU) einen Wechsel des Betriebszustandes der weiteren Systemkomponente veranlassen kann. Hierzu schlägt die hier vorgestellte technische Lehre vor, dass die sicherheitsrelevante Steuervorrichtung (ECU) die Notwendigkeit eines sicherheitskritischen Tests ggf. feststellt. Die hier vorgestellte Verfahrensvariante sieht dann das Umschalten der weiteren Systemkomponente auf den zweiten Betriebszustand der weiteren Systemkomponente vor. Es folgt das Durchführen des sicherheitsrelevanten Tests durch die sicherheitsrelevante Steuervorrichtung (ECU), wobei sich die weitere Systemkomponente während des sicherheitsrelevanten Tests im zweiten Betriebszustand der weiteren Systemkomponente befindet. Nach dem Durchführen des Tests erfolgen bevorzugt das Beenden des sicherheitsrelevanten Tests und das Zurückschalten der weiteren Systemkomponente auf den ersten Betriebszustand der weiteren Systemkomponente.
ERSTE UNTERVARIANTE DER VORAUSGEHENDEN VARINATE DER VORGESTELLTEN VERFAHREN
Bei einer erste Untervariante der zuvor vorgestellten Verfahrensvariante handelt es sich um ein Verfahren, dass sich dadurch auszeichnet, dass eine übergeordnete Steuereinheit die Verbindung der sicherheitsrelevanten Steuervorrichtung (ECU) mit weiteren Systemkomponenten, insbesondere der zuvor erwähnten weiteren Systemkomponente, indirekt beispielsweise über ein mittels eines CAN- Datenbusses mit der sicherheitsrelevanten Steuervorrichtung (ECU) bereitstellt. Hierzu weist die sicherheitsrelevante Steuervorrichtung (ECU) bevorzugt einen Datenbusanschluss für einen solchen Datenbus, beispielsweise einen CAN-Bus oder einen CAN-FD-Datenbus auf.
ZWEITE VARIANTE DES VORGESTELLTEN ERSTEN VERFAHRENS Die Verfahrensvariante kann gleichzeitig auch eine Variante der zuvor ebenfalls vorgestellten Verfahrensvarianten sein, wenn die vorgeschlagene Vorrichtung diese Verfahren gleichzeitig ausführt. Diese zweite Verfahrensvariante zeichnet sich dadurch aus, dass die sicherheitsrelevante Steuervorrichtung (ECU) eine Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) umfasst und dass das Verfahren das Abschalten der Stromaufnahme weiteren Vorrichtung (ECUVC), insbesondere mittels einer Abschaltleitung (ECUVCL), im zweiten Betriebszustand der Steuervorrichtung (ECU) umfasst.
DRITTE VARIANTE DES VORGESTELLTEN ERSTEN VERFAHRENS
Die Verfahrensvariante kann gleichzeitig auch eine Variante der zuvor ebenfalls vorgestellten Verfahrensvarianten sein, wenn die vorgeschlagene Vorrichtung diese Verfahren gleichzeitig ausführt. Diese dritte Verfahrensvariante umfasst bevorzugt die Beeinflussung der Stromaufnahme der weiteren Vorrichtung (ECUVC) durch die sicherheitsrelevante Steuervorrichtung (ECU) oder einen Vorrichtungsteil der sicherheitsrelevanten Steuervorrichtung (ECU). Diese nutzen bevorzugt eine Abschaltleitung (ECUVCL) für diese Beeinflussung. Der besagte Vorrichtungsteil der sicherheitsrelevanten Steuervorrichtung (ECU) kann insbesondere eine Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) sein. Die Beeinflussung erfolgt bevorzugt in Abhängigkeit von dem Betriebszustand der Steuervorrichtung (ECU). Die Beeinflussung erfogt insbesondere bevorzugt mittels einer Abschaltleitung (ECUVCL). Hierzu signalisiert beispielsweise die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) der weiteren Vorrichtung, die beispielsweise die besagte Ladeschaltung (ECUVC) ist, ihre Stromaufnahme zu reduzieren. Im Falle einer Ladeschaltung (ECUVC) umfasst diese beispielsweise bevorzugt einen Transistor als Trennvorrichtung. Bevorzugt steuert die Abschaltleitung (ECUVCL) beispielsweise diesen Transistor und damit die Trennvorrichtung. Im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU) trennt bevorzugt beispielsweise durch eine solche Signalisierung die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) die direkte oder indirekte Verbindung der Energiereserve (C) und/oder der Steuerschaltung (ECUIC) von der Versorgungsspannung (Vbat). Die Stromaufnahme der weiteren Vorrichtung (ECUVC) ist bevorzugt somit im ersten Betriebszustand der Steuervorrichtung (ECU) größer als im zweiten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU). UNTERVARIANTE DER ZWEITEN UND DRITTEN VARIANTE
Diese Untervariante des Verfahrens ist dadurch gekennzeichnet, dass die weitere Vorrichtung eine Ladeschaltung (ECUVC) der sicherheitsrelevanten Steuervorrichtung (ECU) ist. Das Verfahren umfasst das Laden der Energiereserve (C) durch die Ladeschaltung im ersten Betriebszustand der Steuervorrichtung (ECU) und das Versorgen einer Steuerschaltung (ECUIC) der Steuervorrichtung (ECU) mit elektrischer Energie der Ladeschaltung (ECUVC) im ersten Betriebszustand der Steuervorrichtung (ECU). Des Weiteren umfasst das Verfahren in dieser Untervariante das Versorgen der Steuerschaltung (ECUIC) der Steuervorrichtung (ECU) mit elektrischer Energie der Energiereserve (C) im zweiten Betriebszustand der Steuervorrichtung (ECU).
Vorteil
Eine solche Versorgung der sicherheitsrelevanten Steuervorrichtung über die Energiereserve während der Ausführung der sicherheitsrelevanten Funktion reduziert die Angriffsfläche eines Unfallereignisses in Bezug auf eine sicherheitsrelevante Einwirkung auf die sicherheitsrelevante Steuervorrichtung. Ein Kabelbaum ist im gesamten Fahrzeug verteilt. Durch die Versorgung aus der Energiereserve, die zudem bevorzugt in der Nähe oder besser in der sicherheitsrelevanten Steuervorrichtung angebracht wird, wird die Wahrscheinlichkeit einer funktionsbeeinträchtigenden Auswirkung des Unfallereignisses auf die sicherheitsrelevante Vorrichtung signifikant reduziert. Die Vorteile sind hierauf aber nicht beschränkt.
Die Vermeidung von Substratstromauswirkungen kann relevante Chip-Flächen Vergrößerungen bei der integrierten Schaltung für Abstände oder Schutzringe oder interne Schutzdioden und/oder externe Maßnahmen zur Spannungsbegrenzung bedingen. Daher ist es eine wesentlich kostengünstigere Lösung des Problems, die Batterie-Versorgungsströme als Ursache durch die hier vorgeschlagene Nutzung der in Airbag-Systemen ohnehin vorhandenen Energiereserve zur Energieversorgung der Airbag-Steuervorrichtung zu minimieren oder zu vermeiden.
Gegenüber der Lösung mit externen Komponenten oder integrierten Schutzvorrichtungen ist der vorgeschlagene Betriebsmodus eine deutlich kostengünstigere/kostenneutralere Realisierung im Falle von Anforderungen nach einer Robustheit gegenüber einem fehlerhaften Masseversatz bei zeitgleich weiteren vorliegenden Fehlern wie z.B. Kurzschlüssen im System des Fahrzeugs.
Im Vergleich zum Stand der Technik ist die Reduktion der Stromaufnahme eines Moduls kostengünstiger. Diese Reduktion dient dabei der Vermeidung der genannten Problematik. Diese Reduktion ist eine kostengünstigere Alternative im Vergleich zur Behandlung resultierender Ströme mittels weiterer Komponenten.
Bei der Auslegung der vorgeschlagenen Vorrichtung kann der betreffende Konstrukteur außerdem potentiell auf externe Schutzmaßnahmen zur Einhaltung der sicheren Betriebsbereiche bzw. SOA (Vermeidung von EOS) durch den flexiblen Einsatz von stromaufnahmereduzierenden Maßnahmen wie Autarky/Selbstversorgung verzichten oder den resultierenden Aufwand für Schutzmaßnahmen reduzieren.
Liste der Figuren
Figur 1 zeigt eine Vorrichtung des relevanten Stands der Technik.
Figur 2 entspricht der Figur 1 mit einer zusätzlich dritten Diode (D3) und einer vierten Diode (D4).
Figur 3 zeigt das erfindungsgemäßen Verfahren im zweiten Betriebszustand in schematischer und vereinfachter Weise.
Figur 4 zeigt prinzipiell und grob vereinfacht den zeitlichen Ablauf.
Figur 5
Zeit vereinfacht schematisch eine vorschlagsgemäße Vorrichtung, die das Verfahren ausführt, und die Wirkung von Kurzschlüssen. Beschreibung der Figuren
Figur 1
Figur 1 zeigt einen relevanten Stand der Technik. Durch den Massewiderstand (RGND) fällt der Masseversatz als Spannung (ΔVGND) über den Massewiderstand (RGND) der Massezuleitung der Airbag- Steuervorrichtung ab. Die Airbag-Steuervorrichtung steuert die Zündpille (SQ) des Airbags über eine erste Ansteuerleitung (AS1) und eine zweite Ansteuerleitung (AS2) an. Kommt es nun beispielsweise im Rahmen eines Unfalls zu einem niederohmigen Kurzschluss zwischen der ersten Ansteuerleitung (AS1) und der Fahrzeugmasse (GND), so speist die Versorgungsspannung (Vbat) einen Strom in die Airbag-Steuervorrichtung ein. Die interne Masse (GNDi) der Steuervorrichtung befindet sich auf einem Potenzial, das sich um den Masseversatz (ΔVGND) über dem Potenzial der Fahrzeugmasse (GND) befindet. Daher speist die Versorgungsspannung (Vbat) dadurch auch einen Strom in die sicherheitsrelevante Steuervorrichtung (ECU) ein. Dieser eingespeiste Strom fließt über die mit der Fahrzeugmasse (GND) kurzgeschlossene Ansteuerleitung (AS1, AS2) gegen die Fahrzeugmasse ab. Diesen Strom speist die Versorgungsspannungsleitung (Vbat) im Falle einer mikrointegrierten Steuervorrichtung in das Substrat der Steuervorrichtung ein, wo er nur schwer vorhersehbare Effekte hervorrufen kann. Beispielsweise können solche eingespeisten Ströme parasitäre Bipolartransistoren schalten. Die erste Diode (Dl) und die zweite Diode (D2) sollen ESD-Schutzstrukturen symbolisieren. Diese werden in diesem Szenario leitend, sobald der Masseversatz (ΔVGND) die Schleusenspannung überschreitet. In der Figur 1 symbolisieren die Widerstände RSC1 und RSC2 die Widerstände der Kurzschlüsse zwischen der jeweiligen Ansteuerleitung (AS1, AS2) einerseits und der Fahrzeugmasse andererseits.
Figur 2
Figur 2 entspricht der Figur 1 mit dem Unterschied, dass die dritte Diode (D3) und die vierte Diode (D4) nun den Strom übernehmen, wenn die Spannungsdifferenz zwischen der internen Masse (GNDi) und der Fahrzeugmasse (GND) größer als die Schleusenspannung dieser Dioden ist. Figur 2 gehört zum Stand der Technik. Dieser Text beansprucht daher Figur 4 nicht.
Figur 3 Figur 3 soll den Zustand beim erfindungsgemäßen Verfahren im zweiten Betriebszustand in schematischer und vereinfachter Weise verdeutlichen.
Da die Versorgung der Airbag-Steuervorrichtung nun nicht über die Betriebsspannung (Vbat), sondern über die Energiereserve (C) erfolgt, injiziert die Betriebsspannungsquelle keinen elektrischen Strom mehr in die Airbag-Steuervorrichtung. Entscheidend ist, dass die Energiereserve die interne Masse (GNDi) und nicht die Fahrzeugmasse (GND) benutzt. Hierdurch fließt kein Strom über den Massewiderstand (RGND) mit der Konsequenz, dass die Spannung über die Energiereserve (C) die interne Betriebsspannung bestimmt. In diesem Fall unterscheidet sich das Potenzial der inneren Masse nicht vom Potenzial der Fahrzeugmasse, das der Spannungsabfall (ΔVGND) über den Massewiderstand (RGND) verschwindet. Somit fließt auch kein Strom in die Fahrzeugmasse (GND). Eine Injektion parasitärerer Ströme in das Substrat der Steuervorrichtung unterbleibt. Somit beeinträchtigt dann ein Kurzschluss der Ansteuerleitungen einer Zündpille gegen die Masse die anderen Ansteuerleitungen anderer Zündpillen nicht, solange die Energiereserve (C) eine ausreichende Spannung liefert. Diese Lösung schließt damit das Sicherheitsproblem einer ungewollten Strominjektion in das Substrat des ICs aus.
Figur 4
Figur 4 zeigt prinzipiell und grob vereinfacht den zeitlichen Ablauf. Die Steuervorrichtung wechselt vom ersten Betriebszustand mit einem höheren Energieverbrauch in den zweiten Betriebszustand mit einem niedrigeren Energieverbrauch. In diesem zweiten Betriebszustand versorgt die Energiereserve (C) die Steuervorrichtung mit Energie und in Folge dessen geht der Batteriestrom zurück. Die Steuervorrichtung führt dann das Zünd- oder Diagnoseereignis durch. D. h. die Airbag- Steuervorrichtung zündet in diesem zweiten Betriebszustand die Zündpillen, für die eine solche Zündung vorgesehen war. Als weiteres Beispiel könnte die Steuervorrichtung in diesem zweiten Betriebszustand auch einen Test durchführen, also ein Diagnoseereignis durchführen. Nach der Beendigung des zweiten Betriebszustands kehrt die Steuervorrichtung wieder in den ersten Betriebszustand zurück. Da dann die Versorgungspannung (Vbat) die Energieversorgung durchführt und da dann nicht die Energiereserve (C) die Energieversorgung durchführt, steigt dann der Batteriestrom aus der Betriebsspannungsquelle über die Versorgungsspannungsleitung (Vbat) wieder an. Typischerweise ist zu diesem Zeitpunkt im Übrigen der Strom in der Versorgungsspannungsleitung (Vbat) höher als vor der Nutzung der Energiereserve (C). Dies hat den Grund, dass dann die Versorgungsspannung (Vbat) die Energiereserve (C), die ja typischerweise ein Kondensator ist, wieder auflädt. Dies erfordert einen zusätzliche Ladestrom für die Dauer der zeitlichen Ladephase.
Figur 5
Figur 5 zeigt eine vorschlagsgemäße Vorrichtung, die das vorschlagsgemäße Verfahren ausführt. Die Vorrichtung umfasst eine Spanungsquelle (Vbatsup) des Fahrzeugs. Die Spannungsquelle (Vbatsup) des Fahrzeugs erzeugt das Potenzials der Versorgungsspannung (Vbat) gegenüber dem Potenzial der Fahrzeugmasse (GND). Die sicherheitsrelevante Steuervorrichtung (ECU) umfasst in dem Beispiel der Figur 5 als weitere Vorrichtung eine Ladeschaltung (ECUVC). Die Ladeschaltung entnimmt elektrische aus der Versorgungsspannung (Vbat) und dem Massekontakt der sicherheitsrelevanten Steuervorrichtung (ECU), der die interne Masse der sicherheitsrelevanten Steuervorrichtung (ECU) darstellt. Die Ladeschaltung (ECUVC) lädt in einem ersten Betriebszustand der Ladeschaltung (ECUVC) die Energiereserve (C) in beispielhafter Form eines Kondensators auf das Potenzial einer internen Versorgungsspannung (Vbati). In dem Beispiel der Figur 5 versorgt die Ladeschaltung (ECUVC) in dem ersten Betriebszustand der Ladeschaltung (ECUVC) über die interne Versorgungsspannung (Vbati) auch die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuerschaltung (ECU) mit elektrischer Energie. Die sicherheitsrelevante Steuerschaltung (ECUIC) und die Ladeschaltung (ECHVC) können einstückig monolithisch integriert auf einem Halbleiterkristall gefertigt sein. Die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) kann über eine Abschaltleitung (ECUVCL) die Ladeschaltung von dem ersten Betriebszustand in einen zweiten Betriebszustand schalten. Die Ladeschaltung (ECUVC) lädt in dem zweiten Betriebszustand der Ladeschaltung (ECUVC) die Energiereserve (C) in beispielhafter Form eines Kondensators nicht. In dem Beispiel der Figur 5 versorgt die Ladeschaltung (ECUVC) in dem zweiten Betriebszustand der Ladeschaltung (ECUVC) die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuerschaltung (ECU) nicht mit elektrischer Energie. Im zweiten Betriebszustand versorgt die Energiereserve (C) die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) und ggf. weitere Teilvorrichtungen der sicherheitsrelevanten Steuervorrichtung (ECU) mit elektrischer Energie. Die Stromaufnahme der Ladeschaltung (ECUIC) und damit der sicherheitsrelevanten Steuervorrichtung (ECU) ist daher im zweiten Betriebszustand herabgesetzt. Der interne Massepunkt (GNDi) der sicherheitsrelevanten Steuervorrichtung (ECU) ist über den parasitären Massewiderstand (RGND) mit der Fahrzeugmasse (GND) verbunden. Dieser parasitäre Massewiderstand (RGND) liegt typischerweise oft bei ca. 20hm. Der Stromfluss der Stromaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) über diesen Massewiderstand (RGND) führt daher zu einem Masseversatz. Der Masseversatz hat eine Masseversatzspannung (ΔVGND). Der Masseversatz kann dann von OV verschieden sein. Dieser Masseversatz kann daher dann zu den oben beschriebenen Problemen im Fall eines Kurzschlusses (SC1, SC2) einer Anschlussleitung der sicherheitsrelevanten Steuervorrichtung (ECU) mit der Fahrzeugmasse (GND) führen.
Die Figur 5 zeigt beispielhaft eine Airbag-Steuervorrichtung als sicherheitsrelevante Steuervorrichtung (ECU). Die sicherheitsrelevante Steuervorrichtung (ECU) ist mit mehreren Zündpillen über Anschlussleitungen verbunden. Beispielsweise ist eine Zündpille (SQ) der Zündpillen mit einer ersten Anschlussleitung (AS1) und einer zweiten Anschlussleitung (AS2) mit der sicherheitsrelevanten Steuervorrichtung (ECU) verbunden. Die sicherheitsrelevante Steuervorrichtung (ECU) wertet Signale von Sensoren (SO) aus. In dem Beispiel der Figur 5 ist ein beispielhafter Sensor (SO) über eine Sensorleitung (SOL) mit der sicherheitsrelevanten Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) verbunden. Die sicherheitsrelevante Funktion realisiert die sicherheitsrelevante Steuervorrichtung (ECU) nun so, dass sie mit Hilfe eines oder mehrerer Sensoren (SO) einen sicherheitsrelevanten Vorfall, beispielsweise einen Unfall detektiert. Hierzu kommuniziert die sicherheitsrelevante Steuervorrichtung (ECU) bevorzugt über die Sensorleitungen (SOL) mit den Sensoren. Beispielsweise kann es sich bei den Sensorleitungen um einen PSI5-Datenbus oder einen DSI3-Datenbus oder dergleichen handeln. Bevorzugt ist es eine sicherheitsrelevante Steuerschaltung (ECUIC) innerhalb der sicherheitsrelevanten Steuervorrichtung (ECU), die diese Kommunikation mit den Sensoren (SO) über die Sensorleitungen (SOL) und die Auswertung der von den Sensoren (SO) übermittelten Werte und/oder Daten ausführt. Ermittelt die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) einen solchen sicherheitsrelevanten Vorfall, hier beispielsweise einen Unfall, so führt die sicherheitsrelevante Steuervorrichtung (ECUIC) ihre sicherheitsrelevante Funktion aus. In dem Beispiel der Figur 5 ist dies die Zündung der Zündpille (SQ), um die Airbags des beispielhaften Airbag-Systems zu entfalten. Im Rahmen eines Unfalls kann es nun zu einem ersten Kurzschluss (SC1) zwischen der ersten Anschlussleitung (AS1) der Zündpille (SQ) und der Fahrzeugmasse (GND) kommen. Auch kann es im Rahmen eines solchen Unfalls zu einem zweiten Kurzschluss (SC2) zwischen der zweiten Anschlussleitung (AS2) der Zündpille (SQ) und der Fahrzeugmasse (GND) kommen. Des Weiteren kann es bei einem solchen Unfall zu einem dritten Kurzschluss (SC2) zwischen der Sensoranschlussleitung (SOL) eines Sensors (SO) der Fahrzeugmasse (GND) kommen. Natürlich können bei einem solchen Unfall auch andere Kurzschlüsse von Anschlüssen der sicherheitsrelevanten Steuervorrichtung (ECU) mit der Fahrzeugmasse (GND) vorkommen, die einen ähnlichen destruktiven Effekt haben können. Die Kurzschlüsse (SC1, SC2, SC3) in der Figur 5 sind daher nur beispielhaft. Um den Masseversatz zu minimieren versucht daher vorschlagsgemäß die sicherheitsrelevante Steuervorrichtung (ECU) oder eine andere übergeordnete Vorrichtung den Stromverbrauch der Vorrichtungen, deren Betriebsstrom die gleiche Masseleitung zur Fahrzeugmasse hin ableitet, zu minimieren. Im Falle der Figur 5 bedeutet dies, dass beispielsweise die sicherheitsrelevante Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) die Ladeschaltung ((ECUVC) mittels der Abschaltleitung (ECUVCL) abschaltet, wenn die sicherheitsrelevante Steuervorrichtung (ECU) und mit ihr die sicherheitsrelevante Steuerschaltung (ECUIC) vom ersten Betriebszustand in den zweiten Betriebszustand wechselt. Dies verhindert, dass die Ladeschaltung (ECUVC) versucht, einen Strom in die vom Kurzschluss betroffene Leitung einzuspeisen. Die dann auftretenden Ströme sind dann auf wenige mA statt A begrenzt. Die Steuervorrichtung (ECU) kann dann diese reduzierten Ströme in der Regel noch verarbeiten.
Bezugszeichenliste
AS1 erste Ansteuerleitung;
AS2 zweite Ansteuerleitung;
C Energiereserve;
D1 erste Diode;
D2 zweite Diode;
D3 dritte Diode;
D4 vierte Diode;
ECU sicherheitsrelevante Steuervorrichtung für das Fahrzeug, beispielsweise ein
Airbag-Steuergerät;
ECUIC Steuerschaltung der sicherheitsrelevanten Steuervorrichtung (ECU);
ECUVC Ladeschaltung der sicherheitsrelevanten Steuervorrichtung (ECU), Diese
Ladeschaltung kann der Leser auch als weitere Vorrichtung des Fahrzeugs im Sinne dieser Schrift verstehen.
ECUVCL Abschaltleitung mit der die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) die weitere Vorrichtung, hier die Ladeschaltung (ECUVC) der sicherheitsrelevanten Steuervorrichtung, in einen zweiten Betriebszustand bring, in dem die weitere Vorrichtung einen geringeren Strom aus dem Bordnetz entnimmt und damit weniger zur Masseversatzspannung (ΔVGND) beiträgt. In der Regel wird die Steuerschaltung (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU) mittels der Abschaltleitung die weitere Vorrichtung ganz abschalten, sodass die dann nicht mehr vorhandene Stromaufnahme der weiteren Vorrichtung bevorzugt nicht mehr zur Masseversatzspannung (ΔVGND) beiträgt;
GND Fahrzeugmasse, hier auch als anderer Massepunkt des Fahrzeugs bezeichnet; GNDi interne Masse, hier auch als Massekontakt der sicherheitsrelevanten
Steuervorrichtung (ECU) bezeichnet; RGND Massewiderstand;
RSC1 Widerstand des Kurzschlusses zwischen der ersten Ansteuerleitung (AS1) und der Fahrzeugmasse;
RSC2 Widerstand des Kurzschlusses zwischen der zweiten Ansteuerleitung (AS2) und der Fahrzeugmasse; SC1 erster beispielhafter, möglicher Fehler eines ersten möglichen
Kurzschlusses zwischen der ersten Anschlussleitung (AS1) einer beispielhaften Zündpille (SQ) und der Fahrzeugmasse (GND) beispielsweise im Falle eines Unfalls.
SC2 zweiter beispielhafter, möglicher Fehler eines zweiten möglichen
Kurzschlusses zwischen der zweiten Anschlussleitung (AS2) einer beispielhaften Zündpille (SQ) und der Fahrzeugmasse (GND) beispielsweise im Falle eines Unfalls.
SC3 dritter beispielhafter, möglicher Fehler eines dritten möglichen
Kurzschlusses zwischen einer Sensoranschlussleitung (SOL) eines Sensors (SO) und der Fahrzeugmasse (GND) beispielsweise im Falle eines Unfalls.
SO Sensor;
SOL Sensorleitung;
SQ Zündpille; Vbat Versorgungsspannung; Vbati interne Versorgungsspannung; Vbatsup Spannungsquelle zur Erzeugung des Potenzials der Versorgungsspannung
(Vbat) gegenüber dem Potenzial der Fahrzeugmasse (GND); ΔVGND Masseversatz, in Form einer Masseversatzspannung, die über den
Massewiderstand RGND abfällt;

Claims

Patentansprüche
1. Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung für Fahrzeuge, insbesondere für eine Airbag-Steuervorrichtung, wobei das Fahrzeug eine weitere Vorrichtung (ECUVC) aufweist und wobei die sicherheitsrelevante Steuervorrichtung einen Massekontakt (GNDi) aufweist und wobei das Fahrzeug einen anderen Massepunkt (GND) aufweist und wobei die sicherheitsrelevante Steuervorrichtung eine Energiereserve (C) aufweist und wobei die weitere Vorrichtung eine Stromaufnahme eines elektrischen Stromes aufweisen kann, der zu einem Masseversatz mit einer von 0V verschiedenen Masseversatzspannung (ΔVGND) zwischen dem Massekontakt (GNDi) der Steuervorrichtung gegenüber dem anderen Massepunkt (GND) des Fahrzeugs führen kann, und wobei die Steuervorrichtung (ECU) Signale von Sensoren und/oder anderen Systemen empfängt und wobei die sicherheitsrelevante Steuervorrichtung (ECU) einen ersten Betriebszustand und einen zweiten Betriebszustand aufweist und wobei die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand und wobei im ersten und zweiten Betriebszustand die sicherheitsrelevante Steuervorrichtung (ECU) ihre sicherheitsrelevante Funktion ausüben kann und wobei die weitere Vorrichtung (ECUVC) eine erste Stromaufnahme aufweist, wenn sich die Steuervorrichtung (ECU) im ersten Betriebszustand befindet, mit den Schritten
Bereitstellen einer Energiereserve (C);
Auswerten der Signale der Sensoren und/oder der anderen Systeme;
Feststellen eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen der Sensoren und/oder der anderen Systeme;
Umschalten auf den zweiten Betriebszustand im Falle eines sicherheitskritischen Ereignisses;     ‐  Durchführen der sicherheitsrelevanten Funktion der sicherheitsrelevanten  Steuervorrichtung (ECU) im zweiten Betriebszustand,  gekennzeichnet durch den Schritt  ‐  der Versorgung der sicherheitsrelevanten Steuervorrichtung (ECU) aus der  Energiereserve (C), wenn die sicherheitsrelevante Steuervorrichtung (ECU) sich im  zweiten Betriebszustand befindet, und  ‐  der Änderung der Stromaufnahme der weiteren Vorrichtung (ECUVC) in eine zweite  Stromaufnahme der weiteren Vorrichtung (ECUVC), wenn sich die  sicherheitsrelevante Steuervorrichtung (ECU) im zweiten Betriebszustand befindet,   ‐  wobei die zweite Stromaufnahme betragsmäßig kleiner als die erste  Stromaufnahme ist,  ‐  sodass die Masseversatzspannung  (ΔVGND) sich verringert.  
2. Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung (ECU) für Fahrzeuge,  insbesondere für eine Airbag‐Steuervorrichtung,   ‐  wobei die Steuervorrichtung (ECU) eine Energiereserve (C) aufweist und  ‐  wobei das Fahrzeug ein elektrisches Bordnetz mit Versorgungsspannungsleitungen  aufweist und  ‐  wobei die Versorgungsspannungsleitungen eine Versorgungsspannung (Vbat)  umfassen und  ‐  wobei die Steuervorrichtung (ECU) Signale von Sensoren und/oder anderen  Systemen empfängt und  ‐  wobei die sicherheitsrelevante Steuervorrichtung (ECU) einen ersten  Betriebszustand und einen zweiten Betriebszustand aufweist und  ‐  wobei die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) im  ersten Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand und  ‐  wobei im ersten und zweiten Betriebszustand die sicherheitsrelevante  Steuervorrichtung (ECU) ihre sicherheitsrelevante Funktion ausüben kann,  mit den Schritten  ‐  Bereitstellen der Energiereserve (C);  ‐  Auswerten der Signale der Sensoren und/oder der anderen Systeme;  ‐  Feststellen eines sicherheitskritischen Ereignisses in Abhängigkeit von den Signalen  der Sensoren und/oder der anderen Systeme;      ‐  Umschalten auf den zweiten Betriebszustand im Falle eines sicherheitskritischen  Ereignisses;  ‐  Durchführen der sicherheitsrelevanten Funktion der sicherheitsrelevanten  Steuervorrichtung (ECU) im zweiten Betriebszustand,  gekennzeichnet durch die Schritte  ‐  Versorgen der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten  Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der  Versorgungsspannungsleitungen mit elektrischer Energie und  ‐  Laden der Energiereserve (C) im ersten Betriebszustand aus dem elektrischen  Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit  elektrischer Energie und  ‐  Trennen in einer ersten Trennung der sicherheitsrelevanten Steuervorrichtung  (ECU) im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs  und zwar insbesondere von den Versorgungsspannungsleitungen und zwar  insbesondere von der Versorgungsspannung (Vbat) mittels einer Trennvorrichtung  ‐  wobei diese erste Trennung unabhängig von der Spannungsdifferenz zwischen dem  Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits und  dem Potenzial eines Bezugspotenzialknotens (GNDi) der sicherheitsrelevanten  Steuervorrichtung (ECU) andererseits erfolgt und  ‐  Trennen in einer zweiten Trennung der Energiereserve (C) im zweiten  Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und den  Versorgungsspannungsleitungen und zwar insbesondere von der  Versorgungsspannung (Vbat) mittels einer Trennvorrichtung,  ‐  wobei diese zweite Trennung unabhängig von der Spannungsdifferenz zwischen  dem Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits  und dem Potenzial eines Bezugspotenzialknotens (GNDi) der sicherheitsrelevanten  Steuervorrichtung (ECU) andererseits erfolgt und  ‐  wobei es sich bei der ersten Trennung und der zweiten Trennung um den gleichen  Vorgang handeln kann und  ‐  Versorgung der sicherheitsrelevanten Steuervorrichtung (ECU) aus der  Energiereserve (C), wenn die sicherheitsrelevante Steuervorrichtung (ECU) sich im  zweiten Betriebszustand befindet.     
3. Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung (ECU) für Fahrzeuge,  insbesondere für eine Airbag‐Steuervorrichtung,   ‐  wobei die Steuervorrichtung (ECU) eine Energiereserve (C) aufweist und  ‐  wobei das Fahrzeug ein elektrisches Bordnetz mit Versorgungsspannungsleitungen  aufweist und  ‐  wobei die Versorgungsspannungsleitungen eine Versorgungsspannung (Vbat)  umfassen und  ‐  wobei die sicherheitsrelevante Steuervorrichtung (ECU) einen ersten  Betriebszustand und einen zweiten Betriebszustand aufweist und  ‐  wobei die Energieaufnahme der sicherheitsrelevanten Steuervorrichtung (ECU) im  ersten Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU)  betragsmäßig höher ist als im zweiten Betriebszustand der sicherheitsrelevanten  Steuervorrichtung (ECU) und  ‐  wobei im ersten und zweiten Betriebszustand der sicherheitsrelevanten  Steuervorrichtung (ECU) die sicherheitsrelevante Steuervorrichtung (ECU) ihre  sicherheitsrelevante Funktion ausüben kann,  mit den Schritten  ‐  Bereitstellen einer Energiereserve (C);  ‐  Feststellen der Notwendigkeit eines sicherheitskritischen Tests;  ‐  Umschalten der sicherheitsrelevanten Steuervorrichtung (ECU) auf den zweiten  Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU);  ‐  Durchführen des sicherheitsrelevanten Tests durch die sicherheitsrelevante  Steuervorrichtung (ECU) im zweiten Betriebszustand der sicherheitsrelevanten  Steuervorrichtung (ECU);  ‐  Zurückschalten der sicherheitsrelevanten Steuervorrichtung (ECU) auf den ersten  Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU);  gekennzeichnet durch die Schritte  ‐  Versorgen der sicherheitsrelevanten Steuervorrichtung (ECU) im ersten  Betriebszustand aus dem elektrischen Bordnetz des Fahrzeugs mittels der  Versorgungsspannungsleitungen mit elektrischer Energie und      ‐  Laden der Energiereserve (C) im ersten Betriebszustand aus dem elektrischen  Bordnetz des Fahrzeugs mittels der Versorgungsspannungsleitungen mit  elektrischer Energie und  ‐  Trennen in einer ersten Trennung der sicherheitsrelevanten Steuervorrichtung   (ECU) im zweiten Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs  und zwar insbesondere von den Versorgungsspannungsleitungen und zwar  insbesondere von der Versorgungsspannung (Vbat) mittels einer Trennvorrichtung,  ‐  wobei diese erste Trennung unabhängig von der Spannungsdifferenz zwischen dem  Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits und   dem Potenzial eines Bezugspotenzialknotens (GNDi) der sicherheitsrelevanten  Steuervorrichtung (ECU) andererseits erfolgt und  ‐  Trennen in einer zweiten Trennung der Energiereserve (C) im zweiten  Betriebszustand von dem elektrischen Bordnetz des Fahrzeugs und den  Versorgungsspannungsleitungen mittels einer Trennvorrichtung,   ‐  wobei diese zweite Trennung unabhängig von der Spannungsdifferenz zwischen  dem Potenzial der betreffenden Versorgungsspannungsleitungen (GND) einerseits  und dem Potenzial eines Bezugspotenzialknotens (GNDi) der sicherheitsrelevanten  Steuervorrichtung (ECU) andererseits erfolgt und  ‐  wobei die erste Trennung gleich der zweiten Trennung sein kann und   ‐  der Versorgung der sicherheitsrelevanten Steuervorrichtung aus der  Energiereserve, wenn die sicherheitsrelevante Steuervorrichtung sich im zweiten  Betriebszustand der sicherheitsrelevanten Steuervorrichtung befindet. 
4. Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung gemäß einem oder  mehreren der vorhergehenden Ansprüche 1 bis 3,     ‐  wobei die Steuervorrichtung eine Verbindung zu mindestens einer weiteren  Systemkomponente des Fahrzeugs aufweist und  ‐  wobei die sicherheitsrelevante Steuervorrichtung einen Masseanschluss aufweist  und  ‐  wobei diese weitere Systemkomponente einen ersten Betriebszustand und einen   zweiten Betriebszustand aufweist und  ‐  wobei die Energieaufnahme dieser weiteren Systemkomponente im ersten  Betriebszustand betragsmäßig höher ist als im zweiten Betriebszustand und      ‐  wobei ein Betrieb der weiteren Systemkomponente im ersten Betriebszustand der  weiteren Systemkomponente einen ersten zusätzlichen Masseversatz des  Potenzials des Masseanschlusses der sicherheitsrelevanten Steuervorrichtung  gegenüber einem Referenzpotenzial verursacht und  ‐  wobei ein Betrieb der weiteren Systemkomponente im zweiten Betriebszustand der  weiteren Systemkomponente einen zweiten zusätzlichen Masseversatz des  Potenzials des Masseanschlusses der sicherheitsrelevanten Steuervorrichtung  gegenüber einem Referenzpotenzial verursacht, der auch 0V betragen kann, und  ‐  wobei der Betrag des ersten Masseversatzes größer ist als der Betrag des zweiten  Masseversatzes und  ‐  wobei die sicherheitsrelevante Steuervorrichtung die sicherheitsrelevante einen  Wechsel des Betriebszustandes der weiteren Systemkomponente veranlassen kann,  mit den Schritten  ‐  Feststellen der Notwendigkeit eines sicherheitskritischen Tests durch die  sicherheitsrelevante Steuervorrichtung (ECU);  ‐  Umschalten der weiteren Systemkomponente auf den zweiten Betriebszustand der  weiteren Systemkomponente;  ‐  Durchführen des sicherheitsrelevanten Tests durch die sicherheitsrelevante  Steuervorrichtung,   ‐ wobei sich die weitere Systemkomponente während des  sicherheitsrelevanten Tests im zweiten Betriebszustand der weiteren  Systemkomponente befindet;  ‐  Beenden des sicherheitsrelevanten Tests und Zurückschalten der weiteren  Systemkomponente auf den ersten Betriebszustand der weiteren  Systemkomponente. 
5. Verfahren zum Betrieb einer sicherheitsrelevanten Steuervorrichtung gemäß Anspruch 4, dadurch  gekennzeichnet  ‐  dass eine übergeordnete Steuereinheit die indirekte Verbindung der  sicherheitsrelevanten Steuervorrichtung mit weiteren Systemkomponenten  bereitstellt. 
6. Verfahren nach Anspruch 1, wobei es sich gleichzeitig auch um ein Verfahren nach den  Ansprüchen 2 bis 5 handeln kann, dadurch gekennzeichnet,            ‐  dass die sicherheitsrelevante Steuervorrichtung (ECU) eine Steuerschaltung (ECUIC)  der sicherheitsrelevanten Steuervorrichtung (ECU) umfasst und  ‐  dass das Verfahren das Abschalten der Stromaufnahme weiteren Vorrichtung  (ECUVC), insbesondere mittels einer Abschaltleitung (ECUVCL), im zweiten  Betriebszustand der Steuervorrichtung (ECU) umfasst. 
7. Verfahren nach Anspruch 1 oder 6, wobei es sich gleichzeitig auch um ein Verfahren nach den  Ansprüchen 2 bis 5 handeln kann, dadurch gekennzeichnet,  ‐  dass das Verfahren die Beeinflussung der Stromaufnahme der weiteren Vorrichtung  (ECUVC), insbesondere mittels einer Abschaltleitung (ECUVCL), durch die  sicherheitsrelevante Steuervorrichtung (ECU) oder einen Vorrichtungsteil der  sicherheitsrelevanten Steuervorrichtung (ECU), insbesondere eine Steuerschaltung  (ECUIC) der sicherheitsrelevanten Steuervorrichtung (ECU), in Abhängigkeit von  dem Betriebszustand der Steuervorrichtung (ECU), insbesondere mittels einer  Abschaltleitung (ECUVCL), umfasst,  ‐  wobei die Stromaufnahme der weiteren Vorrichtung (ECUVC) im ersten  Betriebszustand der Steuervorrichtung (ECU) größer ist als im zweiten  Betriebszustand der sicherheitsrelevanten Steuervorrichtung (ECU).   
8. Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet,  ‐  dass die weitere Vorrichtung eine Ladeschaltung (ECUVC) der sicherheitsrelevanten  Steuervorrichtung (ECU) ist und  ‐  dass das Verfahren das Laden der Energiereserve (C) durch die Ladeschaltung im  ersten Betriebszustand der Steuervorrichtung (ECU) umfasst und  ‐  dass das Verfahren das Versorgen einer Steuerschaltung (ECUIC) der  Steuervorrichtung (ECU) mit elektrischer Energie der Ladeschaltung (ECUVC) im  ersten Betriebszustand der Steuervorrichtung (ECU) umfasst und  ‐  dass das Verfahren das Versorgen der Steuerschaltung (ECUIC) der  Steuervorrichtung (ECU) mit elektrischer Energie der Energiereserve (C) im zweiten  Betriebszustand der Steuervorrichtung (ECU) umfasst.  .       
EP21777627.7A 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags Active EP4225615B1 (de)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP24020036.0A EP4339039B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP24020035.2A EP4353544B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102020126014.8A DE102020126014B4 (de) 2020-10-05 2020-10-05 Verfahren zur Verhinderung der Nichtauslösung von Airbags durch Kurzschlüsse an Zuleitungen anderer Airbags
PCT/DE2021/100742 WO2022073538A1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Related Child Applications (4)

Application Number Title Priority Date Filing Date
EP24020036.0A Division-Into EP4339039B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP24020036.0A Division EP4339039B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP24020035.2A Division-Into EP4353544B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP24020035.2A Division EP4353544B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Publications (3)

Publication Number Publication Date
EP4225615A1 true EP4225615A1 (de) 2023-08-16
EP4225615B1 EP4225615B1 (de) 2025-10-29
EP4225615C0 EP4225615C0 (de) 2025-10-29

Family

ID=77914210

Family Applications (3)

Application Number Title Priority Date Filing Date
EP24020035.2A Active EP4353544B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP21777627.7A Active EP4225615B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
EP24020036.0A Active EP4339039B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Family Applications Before (1)

Application Number Title Priority Date Filing Date
EP24020035.2A Active EP4353544B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Family Applications After (1)

Application Number Title Priority Date Filing Date
EP24020036.0A Active EP4339039B1 (de) 2020-10-05 2021-09-08 Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags

Country Status (4)

Country Link
EP (3) EP4353544B1 (de)
CN (1) CN116323330B (de)
DE (1) DE102020126014B4 (de)
WO (1) WO2022073538A1 (de)

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE3738862A1 (de) 1987-11-16 1989-05-24 Bosch Gmbh Robert Verfahren zum betrieb einer sicherheitseinrichtung fuer fahrzeuginsassen
DE3925594A1 (de) 1988-08-26 1990-03-01 Bosch Gmbh Robert Elektronische einrichtung und betriebsverfahren
DE10255429A1 (de) 2002-11-28 2004-06-09 Conti Temic Microelectronic Gmbh Verfahren zum Betreiben einer aus einer Betriebsspannungsquelle versorgten elektronischen Baugruppe
ATE380718T1 (de) * 2004-05-28 2007-12-15 Catem Develec Gmbh Elektronischer batterieschutzschalter
DE102008040145A1 (de) * 2008-07-03 2010-01-07 Robert Bosch Gmbh Vorrichtung zur Ansteuerung aller Airbags für ein Fahrzeug, Steuergerät zur Bildung eines Ansteuersignals für alle Airbags für ein Fahrzeug und ein System aus der Vorrichtung und dem Steuergerät
EP2497692B1 (de) * 2011-03-07 2013-03-06 Autoliv Development AB Airbagsteuerung
DE102014225960A1 (de) * 2014-12-16 2016-06-16 Robert Bosch Gmbh Überwachungsvorrichtung für zumindest einen Zündkreis für ein Personenschutzmittel für ein Fahrzeug und Verfahren zum Betreiben einer Überwachungsvorrichtung

Also Published As

Publication number Publication date
DE102020126014B4 (de) 2022-07-07
WO2022073538A1 (de) 2022-04-14
CN116323330A (zh) 2023-06-23
EP4225615B1 (de) 2025-10-29
DE102020126014A1 (de) 2022-04-21
EP4339039C0 (de) 2024-12-18
EP4339039B1 (de) 2024-12-18
CN116323330B (zh) 2023-11-24
EP4353544A3 (de) 2024-06-19
EP4225615C0 (de) 2025-10-29
EP4339039A2 (de) 2024-03-20
EP4353544B1 (de) 2024-11-20
EP4353544C0 (de) 2024-11-20
EP4353544A2 (de) 2024-04-17
EP4339039A3 (de) 2024-06-19

Similar Documents

Publication Publication Date Title
EP3669432B1 (de) Abschaltvorrichtung für ein elektrisches versorgungsnetz
DE102016112764B4 (de) Schnittstellenmodul für ein bordnetz eines kraftfahrzeugs, stromverteiler sowie bordnetz für ein kraftfahrzeug
EP4084249B1 (de) Bordnetz, insbesondere für ein kraftfahrzeug
EP2797776B1 (de) Verfahren und vorrichtung zur überwachung einer energiereserve und sicherungsvorrichtung für ein fahrzeug
DE102020208401A1 (de) Verfahren zur Absicherung insbesondere sicherheitsrelevanter Verbraucher in einem Kraftfahrzeug
DE102020208399A1 (de) Vorrichtung zur Absicherung insbesondere sicherheitsrelevanter Verbraucher in einem Kraftfahrzeug
EP3934941A1 (de) Energienetz für ein kraftfahrzeug und verfahren zum betreiben eines energienetzes für ein kraftfahrzeug
EP4046256B1 (de) Steuergeräteschaltung für ein kraftfahrzeug sowie kraftfahrzeug und betriebsverfahren für die steuergeräteschaltung
EP3452336B1 (de) Mehrspannungs-steuervorrichtung für ein kraftfahrzeug, kraftfahrzeug und betriebsverfahren für die steuervorrichtung
DE102016211644A1 (de) Verfahren und Vorrichtung zum Ansteuern einer Aktuatoreinrichtung und Aktuatorvorrichtung
DE102014207171A1 (de) Verfahren und Vorrichtung zum Ermitteln eines Innenwiderstandes eines Versorgungsnetzes zur Energieversorgung einer Personenschutzeinrichtung eines Fahrzeugs
DE102012023461B3 (de) Kraftfahrzeug-Bordnetz und Verfahren zum Erkennen eines Lichtbogens in einem Hauptleistungspfad des Kraftfahrzeug-Bordnetzes
DE102014221281A1 (de) Fahrzeug-Bordnetz mit hoher Verfügbarkeit
DE102018105826A1 (de) Elektrisches versorgungssystem und verfahren
DE102016204946A1 (de) Verfahren zum Erkennen eines Fehlerzustands, Steuerungseinrichtung, Batteriesensor und Bordnetz
DE10232941B4 (de) KFZ-Bordnetz mit einer Sensor-Schutzschaltung
EP4353544B1 (de) Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
DE102021207476A1 (de) Verfahren zum Betreiben eines Bordnetzes
DE102021119956A1 (de) Testen von Stromversorgungspfaden und Verbrauchern eines Fahrzeugs
EP2553789B1 (de) Bordnetz für ein fahrzeug sowie steuervorrichtung zur spannungsstabilisierung für ein bordnetz
WO2024179706A1 (de) Vorrichtung und verfahren zur energieversorgung eines sicherheitsrelevanten verbrauchers in einem kraftfahrzeug
DE102021201277A1 (de) Verfahren zum Überwachen der Energieversorgung eines Kraftfahrzeugs
DE102013003586A1 (de) Elektrisches Energieversorgungssystem für ein Kraftfahrzeug
DE102016203967B4 (de) Verfahren und Vorrichtung zum Ansteuern einer Drehstromantriebseinrichtung, Antriebsvorrichtung und Wankstabilisator
DE10200830A1 (de) Steuergerät mit Mitteln zur Erhöhung der Störfestigkeit

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230406

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20231123

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20250527

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ELMOS SEMICONDUCTOR SE

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: CH

Ref legal event code: F10

Free format text: ST27 STATUS EVENT CODE: U-0-0-F10-F00 (AS PROVIDED BY THE NATIONAL OFFICE)

Effective date: 20251029

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502021009096

Country of ref document: DE

U01 Request for unitary effect filed

Effective date: 20251030

U07 Unitary effect registered

Designated state(s): AT BE BG DE DK EE FI FR IT LT LU LV MT NL PT RO SE SI

Effective date: 20251106

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20251029

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20260129

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20251029

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20260129

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20260228

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20251029